(57)【要約】【課題】ＶＰＮトラフィックとＶＰＮ以外のトラフィックをネットワークプレフィックスに基づいて分離し、適切なアクセス制限を実現すること。【解決手段】ＶＰＮ装置において、接続相手のＶＰＮ装置から受信したメッセージから、ＶＰＮによる通信に使用するネットワークプレフィックスであるＶＰＮプレフィックスの決定に関するネットワークプレフィックスメッセージを取得するＶＰＮプロトコル依存処理部２１１と、ＶＰＮプレフィックスを接続相手の通信装置とメッセージ送受信により決定するプレフィックス処理部２１２と、決定されたＶＰＮプレフィックスをネットワーク１０４内へルータ広告（ＲＡ）で配布するルータ広告処理部２４０と、パケットフィルタ設定を、ＶＰＮプレフィックスに基づいて変更するパケットフィルタ部２３１とを備えた。【選択図】        図２
2006245676.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続された接続相手の通信装置とＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）によって通信処理を行う通信装置であって、
ＶＰＮに関連するプロトコルを処理するとともに、前記接続相手の通信装置から受信したメッセージから、ＶＰＮによる通信に使用されるネットワーク識別情報であるＶＰＮネットワーク識別情報の決定に関する識別情報メッセージを取得するＶＰＮプロトコル依存処理手段と、
前記ＶＰＮネットワーク識別情報を、前記接続相手の通信装置と前記識別情報メッセージの送受信により決定する識別情報処理手段と、
前記識別情報処理手段によって決定された前記ＶＰＮネットワーク識別情報のネットワーク内への配布に関する処理を行う広告処理手段と、
を備えたことを特徴とする通信装置。
【請求項２】
前記識別情報処理手段は、前記ＶＰＮプロトコル依存処理手段によってＶＰＮ接続確立の処理時に、前記ＶＰＮネットワーク識別情報を、前記接続相手の通信装置と前記識別情報メッセージの送受信により決定することを特徴とする請求項１に記載の通信装置。
【請求項３】
前記識別情報処理手段は、さらに、前記接続相手の通信装置と、自装置のネットワーク情報と前記接続相手の通信装置のネットワーク情報に基づいた優劣決定メッセージの送受信によって、自装置が前記ＶＰＮネットワーク識別情報の決定に関する処理を行う優位ノードであるか、前記優位ノードにより決定された前記ＶＰＮネットワーク識別情報の通知を受信する劣位ノードであるかを決定する優劣決定処理を行うことを特徴とする請求項１または２に記載の通信装置。
【請求項４】
前記識別情報処理手段は、さらに前記ネットワーク識別情報の取得方法を、前記接続相手の通信装置と前記取得方法を含む前記識別処理メッセージの送受信により決定することを特徴とする請求項１〜３のいずれか一つに記載の通信装置。
【請求項５】
自装置で管理するすべての前記ネットワーク識別情報を記憶する識別情報記憶手段をさらに備え、
前記識別情報処理手段は、前記取得方法として自装置で管理する前記ネットワーク識別情報から取得する旨が決定された場合に、前記識別情報記憶手段に記憶された前記ネットワーク識別情報から前記ＶＰＮネットワーク識別情報を決定することを特徴とする請求項４に記載の通信装置。
【請求項６】
一定時間ごとにＩＳＰ側のネットワークに対し前記ネットワーク識別情報の獲得要求を送信し、該獲得要求に対する応答として前記ＩＳＰ側のネットワークから前記ネットワーク識別情報を受信する識別情報獲得手段と、
前記識別情報獲得手段によって受信した前記ネットワーク識別情報を記憶する獲得識別情報記憶手段と、をさらに備え、
前記識別情報処理手段は、前記取得方法として自装置で管理する前記ネットワーク識別情報から取得する旨が決定された場合に、前記獲得識別情報記憶手段に記憶されている前記ネットワーク識別情報から、前記ＶＰＮネットワーク識別情報を決定することを特徴とする請求項４に記載の通信装置。
【請求項７】
ＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）側のネットワークに対し前記ネットワーク識別情報の獲得要求を送信し、該獲得要求に対する応答として前記ＩＳＰ側のネットワークから前記ネットワーク識別情報を受信する識別情報獲得手段をさらに備え、
前記識別情報処理手段は、前記取得方法としてＩＳＰが利用される旨が決定された場合に、前記識別情報獲得手段に前記獲得要求をＩＳＰ側のネットワークに対し送信すべき旨の指令を行い、前記識別情報獲得手段によって受信した前記ネットワーク識別情報から前記ＶＰＮネットワーク識別情報を決定することを特徴とする請求項４〜６のいずれか一つに記載の通信装置。
【請求項８】
自装置で管理するすべての前記ネットワーク識別情報を記憶する識別情報記憶手段をさらに備え、
前記識別情報処理手段は、前記取得方法としてＩＰｖ６プロトコルで予め定められた規則で生成する旨が決定された場合に、ＩＰｖ６プロトコルで予め定められた規則に従って前記ネットワーク識別情報を生成し、生成された前記ネットワーク識別情報が前記識別情報記憶手段に記憶されている前記ネットワーク識別情報と重複しないものを前記ＶＰＮネットワーク識別情報として決定することを特徴とする請求項４〜７のいずれか一つに記載の通信装置。
【請求項９】
自装置で管理するすべての前記ネットワーク識別情報を記憶する識別情報記憶手段をさらに備え、
前記識別情報処理手段は、前記取得方法として前記ネットワーク識別情報をランダムに取得する旨が決定された場合に、前記ネットワーク識別情報をランダムに生成し、生成された前記ネットワーク識別情報が前記識別情報記憶手段に記憶されている前記ネットワーク識別情報と重複しないものを前記ＶＰＮネットワーク識別情報として決定することを特徴とする請求項４〜８のいずれか一つに記載の通信装置。
【請求項１０】
前記識別情報処理手段は、さらに、前記ＶＰＮネットワーク識別情報の配布方法を、前記接続相手の通信装置と前記配布方法を含む前記識別処理メッセージの送受信により決定することを特徴とする請求項１〜９のいずれか一つに記載の通信装置。
【請求項１１】
前記広告処理手段は、前記識別情報処理手段によって前記配布方法がルータ広告メッセージで配布する旨が決定された場合に、前記ＶＰＮネットワーク識別情報をルータ広告（ＲＡ）によってネットワーク内に配布することを特徴とする請求項１０に記載の通信装置。
【請求項１２】
前記広告処理手段は、前記識別情報処理手段によって前記配布方法がルータ装置にルータ広告による配布を依頼する旨が決定された場合に、ネットワークに接続されたルータ装置に対して、前記ＶＰＮネットワーク識別情報をルータ広告（ＲＡ）による配布依頼を行うことを特徴とする請求項１０または１１に記載の通信装置。
【請求項１３】
前記識別情報処理手段は、さらに、前記ＶＰＮネットワーク識別情報の配布形態を、前記接続相手の通信装置と前記配布形態を含む前記識別処理メッセージの送受信により決定することを特徴とする請求項１〜１２のいずれか一つに記載の通信装置。
【請求項１４】
前記広告処理手段は、前記識別情報処理手段によって前記配布形態が個別配布に決定された場合に、ＶＰＮ接続された各ネットワークごとに前記ＶＰＮネットワーク識別情報を配布することを特徴とする請求項１３に記載の通信装置。
【請求項１５】
前記広告処理手段は、前記識別情報処理手段によって前記配布形態が一括配布に決定された場合に、ＶＰＮ接続された全てのネットワーク内に前記ＶＰＮネットワーク識別情報を配布することを特徴とする請求項１３または１４に記載の通信装置。
【請求項１６】
ＶＰＮによる通信におけるパケットフィルタ設定を、前記識別情報処理手段によって決定された前記ＶＰＮネットワーク識別情報に基づいて変更するパケットフィルタ手段、
をさらに備えたことを特徴とする請求項１〜１５のいずれか一つに記載の通信装置。
【請求項１７】
前記パケットフィルタ手段は、ＶＰＮによる通信におけるパケットフィルタ設定を、全てのネットワーク識別情報に対するトラフィックがＶＰＮを通過しない値の設定に変更することを特徴とする請求項１６に記載の通信装置。
【請求項１８】
前記パケットフィルタ手段は、ＶＰＮプロトコルによる通信におけるパケットフィルタ設定を、前記識別情報処理手段によって決定された前記ＶＰＮネットワーク識別情報を除く全てのネットワーク識別情報に対するトラフィックがＶＰＮを通過しない値の設定に変更することを特徴とする請求項１６または１７に記載の通信装置。
【請求項１９】
前記識別情報処理手段は、さらに、自装置のネットワーク情報と予め取得した前記接続相手の通信装置のネットワーク情報とから、自装置が前記ＶＰＮネットワーク識別情報の決定に関する処理を行う優位ノードであるか、前記優位ノードにより決定された前記ＶＰＮネットワーク識別情報の通知を受信する劣位ノードであるかを決定する優劣決定処理を行うことを特徴とする請求項１または２に記載の通信装置。
【請求項２０】
前記識別情報処理手段は、前記識別情報メッセージを含むＶＰＮ接続要求を前記接続相手の通信装置に送信して、その応答としてエラーを受信した場合に、前記ＶＰＮネットワーク識別情報を、前記接続相手の通信装置と前記識別情報メッセージの送受信をせずに決定することを特徴とする請求項１に記載の通信装置。
【請求項２１】
ネットワークに接続された接続相手の通信装置とＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）による通信処理を行う通信通信装置にネットワークによって接続されたルータ装置であって、
ネットワークに接続された通信装置からＶＰＮによる通信に使用されるネットワーク識別情報であるＶＰＮネットワーク識別情報の配布依頼を受信した場合に、前記ネットワーク識別情報をルータ広告（ＲＡ）によってネットワーク内に配布することを特徴とするルータ装置。
【請求項２２】
ネットワークに接続された接続相手の通信装置とＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）によって通信処理を行う通信方法であって、
ＶＰＮに関連するプロトコルを処理するとともに、前記接続相手の通信装置から受信したメッセージから、ＶＰＮによる通信に使用されるネットワーク識別情報であるＶＰＮネットワーク識別情報の決定に関する識別情報メッセージを取得するＶＰＮプロトコル依存処理ステップと、
前記ＶＰＮネットワーク識別情報を、前記接続相手の通信装置と前記識別情報メッセージの送受信により決定する識別情報処理ステップと、
前記識別情報処理ステップによって決定された前記ＶＰＮネットワーク識別情報のネットワーク内への配布に関する処理を行う広告処理ステップと、
を含むことを特徴とする通信方法。
【請求項２３】
ネットワークに接続された接続相手の通信装置とＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）による通信処理を行う通信通信装置にネットワークによって接続されたルータ装置における通信方法であって、
ネットワークに接続された通信装置からＶＰＮによる通信に使用されるネットワーク識別情報であるＶＰＮネットワーク識別情報の配布依頼を受信した場合に、前記ＶＰＮネットワーク識別情報をルータ広告メッセージによってネットワーク内に配布するステップ
を含む通信方法。
【請求項２４】
ネットワークに接続された接続相手の通信装置とＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）によって通信処理を行う通信プログラムであって、
ＶＰＮに関連するプロトコルを処理するとともに、前記接続相手の通信装置から受信したメッセージから、ＶＰＮによる通信に使用されるネットワーク識別情報であるＶＰＮネットワーク識別情報の決定に関する識別情報メッセージを取得するＶＰＮプロトコル依存処理ステップと、
前記ＶＰＮネットワーク識別情報を、前記接続相手の通信装置と前記識別情報メッセージの送受信により決定する識別情報処理ステップと、
前記識別情報処理ステップによって決定された前記ＶＰＮネットワーク識別情報のネットワーク内への配布に関する処理を行う広告処理ステップと、
をコンピュータに実行させる通信プログラム。
【請求項２５】
ネットワークに接続された接続相手の通信装置とＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）による通信処理を行う通信通信装置にネットワークによって接続されたルータ装置における通信プログラムであって、
ネットワークに接続された通信装置からＶＰＮによる通信に使用されるネットワーク識別情報であるＶＰＮネットワーク識別情報の配布依頼を受信した場合に、前記ＶＰＮネットワーク識別情報をルータ広告メッセージによってネットワーク内に配布するステップ
をコンピュータに実行させる通信プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続された接続相手の通信装置と、ＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）による通信処理の確立を行う通信装置、ルータ装置、通信方法および通信プログラムに関する。
【背景技術】
【０００２】
インターネットや公衆回線等のネットワークによる通信を専用線により構築されたネットワークのように仮想的にみせる技術であるＶＰＮ技術は、その技術基盤に基づいて大別すると、ＯＳＩ基本参照プロトコルの第３層であるネットワーク層の技術を利用して実現するレイヤー３ＶＰＮと第２層であるデータリンク層の技術を利用して実現するレイヤー２ＶＰＮに分けられる。
【０００３】
レイヤー３ＶＰＮは、ネットワーク内のエンドノードをネットワーク層で接続するため、各ネットワーク間で第３層のネットワーク識別情報であるＩＰｖ４アドレスやＩＰｖ６アドレスが適切に設定されている必要がある。一方、レイヤー２ＶＰＮによる接続では、ネットワーク内のエンドノードをデータリンク層で接続するため、ＶＰＮが確立する前に通信に利用するアドレス等のネットワーク識別情報を決定しておかなくても、ＶＰＮ接続後に決定することができる。
【０００４】
一方、ＶＰＮ技術は、接続形態によって、サイト・ツー・サイトＶＰＮ（あるいは拠点間接続ＶＰＮ、ＬＡＮ間接続ＶＰＮともいう）とリモートアクセスＶＰＮに分類される。サイト・ツー・サイトＶＰＮは、複数存在する既存のＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）を接続する形態であり、リモートアクセスＶＰＮは、例えば、一般の電話回線やＩＳＤＮ回線などの公衆回線を通じて遠隔地のコンピュータに接続し、そのコンピュータのリソースまたはそこで認証を経て許可されたリソースを使用できるようにして遠隔ノードとネットワークを接続する形態である。
【０００５】
サイト・ツー・サイトＶＰＮは、レイヤー２ＶＰＮ、レイヤー３ＶＰＮのいずれの方式とも広く利用されているが、ネットワーク管理者の管理の下で適切に設定をされた状態で運用されることを前提としている。このため、ＶＰＮプロトコルにより接続される各ネットワーク間でＩＰｖ４環境下におけるアドレスやＩＰｖ６環境下におけるネットワークプレフィックスのようなネットワーク識別情報を始めとするネットワーク関連情報の不整合は、設計段階にネットワーク設計者によって解決されている。
【０００６】
一方、リモートアクセスＶＰＮでも、レイヤー２ＶＰＮとレイヤー３のいずれも広く用いられている。レイヤー２ＶＰＮを用いる場合には、被アクセス側であるＶＰＮサーバがアクセス側であるＶＰＮクライアントに対してネットワーク関連情報を動的に付与することが一般的に行われている。一方、レイヤー３ＶＰＮではアクセス元のネットワークにて使用しているネットワーク関連情報を用いてＶＰＮを確立している。
【０００７】
しかし、いずれのＶＰＮの場合も、被アクセス側ネットワークに仮想的に接続しているように振舞うためには、接続されるＶＰＮによる通信で使用するアドレスは、接続されるネットワーク間で事前に合意したアドレスまたはアドレス空間を使用するか、例えばＶＰＮサーバのような被アクセス側が接続しているネットワークにおいて既に使用されているアドレスを動的に割り当てたり、あらかじめ確保されたアドレスを割り当てる必要がある。
【０００８】
例えば、特許文献１では、ＶＰＮ接続時にＶＰＮクライアントに対してＶＰＮサーバ側が接続しているネットワークのＩＰｖ４アドレス形式のプライベートアドレスを割り当てる技術が開示されている。このようにアドレス割り当てを行う場合、ＶＰＮクライアントがアクセス側のネットワークに透過的に接続できるというＶＰＮのメリットを活かすことができるが、あるパケットがＶＰＮを経由しているかどうかを判断するためには、ＶＰＮクライアントに割り当てられる可能性のあるアドレスを全て把握しておくか、あるいはＶＰＮサーバにアドレスの問い合わせを行う処理が必要となる。
【０００９】
また、特許文献２では、電子メールを利用する特定のノードグループに対して共通するアドレスを割り当て、この共通のアドレスを利用してアクセス制限を行う技術が開示されている。
【００１０】
さらに、非特許文献１では、ＩＰｖ６ネットワークにおいて、ネットワークアプリケーションごとにＩＰｖ６形式のネットワークプレフィックスを割り当てるという運用形態が提案されている。このようなアドレス割り当てを利用することで、特定の目的を有するグループを明確に識別することが可能となる。
【００１１】
【特許文献１】特開２００４−８０７０３号公報
【特許文献２】特開２００３−２７３８９７号公報
【非特許文献１】「Providing Network Services with Multiple Prefix Delegation」  Shinsuke SUZUKI, Hitachi, SAINT2004
【発明の開示】
【発明が解決しようとする課題】
【００１２】
しかしながら、上記従来技術は、事前にネットワーク識別情報を管理者が設定して整合性が取れていることを前提としているため、例えば家庭内ネットワーク等のように管理者が存在しないネットワークでは適切に動作しない可能性がある。
【００１３】
ところで、レイヤー２ＶＰＮを利用すると、物理的には直接接続していない離れた複数のレイヤー２セグメントを一つのレイヤー２セグメントとして扱うことができ、ＶＰＮ装置が接続する自身のネットワークと遠方のネットワークを区別することなく利用できるという性質がある。
【００１４】
すなわち、ＶＰＮ装置が、自身が接続しているネットワークを他のネットワークに接続する場合、ＶＰＮプロトコルで接続された両ネットワークには他方のセグメントで送信されたブロードキャストパケットなども流れる。
【００１５】
また、家庭内ネットワーク等のように通常運用時は自律しているネットワーク間をレイヤー２ＶＰＮで接続する際には、ＤＨＰＣ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）やＲＡ（Ｒｏｕｔｅｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔ）のようなネットワーク設定情報を運ぶパケットが、ネットワーク間で混在するため、アクセス制限が困難になり不正なパケット転送が発生する可能性がある。
【００１６】
例えば、ブロードキャストパケットがＤＨＣＰサーバを探索するためのパケットの場合、ＶＰＮで接続されたネットワーク内であれば、遠隔にあるＤＨＣＰサーバを探索することが可能となる。
【００１７】
また、ネットワーク層にＩＰｖ６を使用しているネットワークの場合、ネットワーク内のエンドノードは、ＩＰｖ６形式のルータ広告に基づくステートレスアドレス自動設定を使用するため、遠隔ネットワークから流れてくるルータ広告に基づいて、遠隔ネットワークのＩＰｖ６アドレスが自動的に設定される可能性がある。このような状況下において、アドレスベースのアクセス制限を行っていると、適切な制限が適用できない可能性がある。
【００１８】
本発明は、上記に鑑みてなされたものであって、ＶＰＮトラフィックとＶＰＮ以外のトラフィックをネットワークプレフィックスのアドレスに基づいて分離し、適切なアクセス制限を実現することができる通信装置、ルータ装置、通信方法および通信プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１９】
上述した課題を解決し、目的を達成するために、本発明は、ネットワークに接続された接続相手の通信装置とＶＰＮによって通信処理を行う通信装置であって、ＶＰＮに関連するプロトコルを処理するとともに、前記接続相手の通信装置から受信したメッセージから、ＶＰＮによる通信に使用されるネットワーク識別情報であるＶＰＮネットワーク識別情報の決定に関する識別情報メッセージを取得するＶＰＮプロトコル依存処理手段と、前記ＶＰＮネットワーク識別情報を、前記接続相手の通信装置と前記識別情報メッセージの送受信により決定する識別情報処理手段と、前記識別情報処理手段によって決定された前記ＶＰＮネットワーク識別情報のネットワーク内への配布に関する処理を行う広告処理手段と、を備えたことを特徴とする。
【００２０】
また、本発明は、ネットワークに接続された接続相手の通信装置とＶＰＮによる通信処理を行う通信通信装置にネットワークによって接続されたルータ装置であって、ネットワークに接続された通信装置からＶＰＮによる通信に使用されるネットワーク識別情報であるＶＰＮネットワーク識別情報の配布依頼を受信した場合に、前記ネットワーク識別情報をルータ広告（ＲＡ）によってネットワーク内に配布することを特徴とする。
【００２１】
また、本発明は上記装置に対する通信方法および通信プログラムである。
【発明の効果】
【００２２】
本発明によれば、接続相手の通信装置から受信したメッセージから、ＶＰＮによる通信に使用されるネットワーク識別情報であるＶＰＮネットワーク識別情報の決定に関する識別情報メッセージを取得し、ＶＰＮネットワーク識別情報を接続相手の通信装置と識別情報メッセージの送受信により決定し、決定されたＶＰＮネットワーク識別情報のネットワーク内への配布に関する処理を行うことで、ＶＰＮ接続された各ネットワーク内でＶＰＮネットワーク識別情報を把握することができる。このため、ＶＰＮトラフィックとＶＰＮ以外のトラフィックをこのＶＰＮネットワーク識別情報に基づいて分離することができ、これによって、ＶＰＮ接続された各ネットワーク内で適切なアクセス制限を実現することができるという効果を奏する。
【００２３】
また、本発明によれば、ネットワークに接続された通信装置からＶＰＮによる通信に使用されるネットワーク識別情報であるＶＰＮネットワーク識別情報の配布依頼を受信した場合に、ＶＰＮネットワーク識別情報をルータ広告メッセージによってネットワーク内に配布することで、ＶＰＮ接続された各ネットワーク内でＶＰＮネットワーク識別情報を把握することができる。このため、ＶＰＮトラフィックとＶＰＮ以外のトラフィックをＶＰＮネットワーク識別情報に基づいて分離することができ、これによって、適切なアクセス制限を実現することができるという効果を奏する。
【発明を実施するための最良の形態】
【００２４】
以下に添付図面を参照して、この発明にかかる通信装置、ルータ装置、通信方法および通信プログラムの最良な実施の形態を詳細に説明する。
【００２５】
（実施の形態１）
図１は、本発明の第１の実施の形態にかかるネットワークシステムのネットワーク構成を示す説明図である。本実施の形態のネットワークシステムは、図１に示すように、複数のＶＰＮ装置１００ａ〜１００ｄがＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）１０２ａ〜１０２ｄのネットワークを介してインターネット１０７に接続され、ＶＰＮ接続が可能な形態となっている。また、ＩＳＰ１０２ａ〜１０２ｄのネットワークには、ＰＤ（Ｐｒｅｆｉｘ  Ｄｅｌｅｇａｔｉｏｎ）サーバ１０５ａ〜１０５ｄが接続されている。更に、インターネット１０７上にはＶＰＮ仲介サーバ１０６が接続されている。
【００２６】
本実施の形態で使用するＶＰＮは、ＯＳＩ基本参照モデルの第２層であるデータリンク層の技術を利用して実現するレイヤー２ＶＰＮであり、また、複数のネットワーク１０４ａ〜１０４ｄを接続するサイト・ツー・サイトＶＰＮの形態となっている。
【００２７】
なお、本実施の形態のネットワークシステムでは、ＴＣＰ／ＩＰの通信プロトコルを使用し、アドレスはＩＰｖ６アドレス形式を使用している。
【００２８】
ＶＰＮ装置１００ａ〜１００ｄは、自身が管理するＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）等のネットワーク１０４ａ〜１０４ｄ同士のＶＰＮ接続の確立処理、ＶＰＮプロトコルに従ったトンネリング等の各種処理、ＶＰＮ接続の切断処理を行うものであり、本実施の形態では、さらに、ＶＰＮによる通信で使用するＩＰｖ６形式のネットワークプレフィックスであるＶＰＮプレフィックスの取得処理を行う。
【００２９】
ＶＰＮ装置１００ａ，１００ｂは、ルータ機能を有しておらず、このため、ルータ装置１０１ａ，１０１ｂを介してインターネット１０７に接続されている。一方、ＶＰＮ装置１０４ｃ，１０４ｄはルータ機能を有しており、このため、ルータ装置を介さずに直接インターネット１０７に接続されている。図１では、ルータ機能を有さないＶＰＮ装置のネットワーク同士、すなわちＶＰＮ装置１００ａのネットワーク１０４ａとＶＰＮ装置１００ｂのネットワーク１０４ｂをＶＰＮ接続し、ルータ機能を有するＶＰＮ装置のネットワーク同士、すなわちＶＰＮ装置１００ｃのネットワーク１０４ｃとＶＰＮ装置１００ｄのネットワーク１０４ｄをＶＰＮ接続した例を示しているが、これに限られず、ルータ機能を有さないＶＰＮ装置１００ａ，１００ｂのネットワーク１０４ａ，１０４ｂとルータ機能を有するＶＰＮ装置１００ｃ，１００ｄのネットワーク１０４ｃ，１０４ｄとをＶＰＮ接続してもよい。
【００３０】
ＰＤサーバ１０５ａ〜１０５ｄは、ＩＳＰ１０２ａ〜１０２ｄのネットワークに属して、ＰＤクライアントからのプレフィックス獲得要求を受けて、ネットワークプレフィックスを生成してＰＤクライアントに送信するものである。ここで、ＰＤ（Ｐｒｅｆｉｘ  Ｄｅｌｅｇａｔｉｏｎ：プレフィックス委譲）とは、ＰＤクライアントからのプレフィックス獲得要求を受けてＩＳＰ１０２ａ〜１０２ｄからＩＰｖ６のグローバルアドレス空間を自動割り当てする仕組みであり、本実施の形態では、後述するＶＰＮ装置１００のＰＤクライアント部２１４がＰＤクライアントとなって、ネットワークプレフィックスをＰＤサーバ１０５ａ〜１０５ｄから割り当てられるようになっている。
【００３１】
ＶＰＮ仲介サーバ１０６は、２つのネットワーク１０４のＶＰＮ接続の可否を判断し、ＶＰＮ接続が可能と判断された場合にネットワークプレフィックスを各ネットワーク１０４ａ〜１０４ｄのＶＰＮ装置１００ａ〜１００ｄに送信する処理を行うサーバである。
【００３２】
以下、説明の都合上、ＶＰＮ装置１００ａ〜１００ｄをＶＰＮ装置１００、ＩＳＰ１０２ａ〜１０２ｄをＩＳＰ１０２、ルータ装置１０１ａ，１０１ｂをルータ装置１０１、エンドノード１０３ａ〜１０３ｄをエンドノード１０３、ネットワーク１０４ａ〜１０４ｄをネットワーク１０４、ＰＤサーバ１０５ａ〜１０５ｄをＰＤサーバ１０５と記す。
【００３３】
（ＶＰＮ装置１００の構成）
図２は、ＶＰＮ装置１００の機能的構成を示すブロック図である。ＶＰＮ装置１００は、図２に示すように、ＶＰＮ処理部２１０と、ポリシー管理部２２０と、パケット転送部２３０と、ルータ広告処理部２４０と、パケット受信部２５０と、パケット送信部２６０と、ＰＤクライアント部２１４と、記憶部２００と、複数のネットワークインタフェース２７０とを主に備えた構成となっている。ここで、プレフィックス処理部２１２は本発明における識別情報処理手段に相当し、ルータ広告処理部２４０は、本発明における広告処理手段に相当する。また、ＰＤクライアント部２１４は、本発明における識別情報獲得手段に相当する。
【００３４】
ＶＰＮ処理部２１０は、記憶部２００に保存されているＶＰＮ接続情報２０１の操作や、ＶＰＮの確立および切断などのＶＰＮプロトコルに従った処理を行う。ＶＰＮ処理部２１０は、ＶＰＮプロトコル依存処理部２１１とプレフィックス処理部２１２とを備えている。
【００３５】
ＶＰＮプロトコル依存処理部２１１は、ＶＰＮ接続の確立や切断に関する処理と接続相手のＶＰＮ装置１００から受信したメッセージから後述するＶＰＮプレフィックスメッセージを抽出する処理を行う。ＶＰＮ接続の確立や切断に関する処理は、プロトコルごとに異なるが、ＰＰＴＰ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ  Ｔｕｎｎｅｌｉｎｇ  Ｐｒｏｔｏｃｏｌ）やＬ２ＴＰ（Ｌａｙｅｒ２  Ｔｕｎｎｅｌｉｎｇ  Ｐｒｏｔｏｃｏｌ）等のトンネリング等、ＩＰｓｅｃ（ＩＰ  Ｓｅｃｕｒｉｔｙ  Ｐｒｏｔｏｃｏｌ）で規定される処理を行う。
【００３６】
プレフィックス処理部２１２は、ＶＰＮ接続の確立の処理時に、ＶＰＮプロトコル依存処理部２１１により抽出したＶＰＮプレフィックスメッセージの接続相手のＶＰＮ装置１００との送受信による交渉により、ＶＰＮプレフィックスを決定する処理を行う。ここで、ＶＰＮプレフィックスは、ＶＰＮによる通信に使用するＩＰｖ６形式のネットワークプレフィックスである。ここで、ネットワークプレフィックスは本発明におけるネットワーク識別情報に相当する。また、ＶＰＮプレフィックスは本発明におけるＶＰＮネットワーク識別情報に相当する。
【００３７】
具体的には、プレフィックス処理部２１２は、接続相手のＶＰＮ装置１００と交渉してＶＰＮプレフィックスを決定する処理を行う優位ノードと決定されたＶＰＮプレフィックスの通知を受ける劣位ノードを決定する優劣決定処理、ネットワークプレフィックスの取得方法を決定するプレフィックス取得方法決定処理、決定されたＶＰＮプレフィックスの配布方法を決定するプレフィックス配布方法決定処理および決定されたＶＰＮプレフィックスの配布形態を決定するプレフィックス配布形態決定処理、プレフィックス取得方法決定処理で決定された取得方法によってネットワークプレフィックスを取得してＶＰＮプレフィックスを決定するプレフィックス取得処理を行う。これらの優劣決定処理、プレフィックス取得方法決定処理、プレフィックス配布方法決定処理およびプレフィックス配布形態決定処理、プレフィックス取得処理は、いずれもＶＰＮプレフィックスの決定に関する処理である。優劣決定処理で優位ノードとなったＶＰＮ装置１００によりプレフィックス取得方法決定処理、プレフィックス配布方法決定処理およびプレフィックス配布形態決定処理が行われ、決定結果が劣位ノードとなったＶＰＮ装置１００に通知される。
【００３８】
また、プレフィックス処理部２１２は、ネットワークプレフィックス情報２０２へのＶＰＮプレフィックスへの登録等、ネットワークプレフィックス情報２０２の管理を行う。なお、プレフィックス処理部２１２は、ＶＰＮ接続の確立の処理時にＶＰＮプレフィックスの決定処理を行っているが。ＶＰＮプロトコルの一連の手続きの中でＶＰＮプレフィックスの決定処理を実行することもできる。
【００３９】
ＶＰＮプレフィックスメッセージは、ＶＰＮプレフィックスの決定を行う際にＶＰＮ装置１００間で交渉のために送受信されるメッセージおよびその応答メッセージであり、本発明におけるＶＰＮ識別情報メッセージに相当する。ＶＰＮプレフィックスメッセージは、優劣決定メッセージ、プレフィックス取得メッセージおよびプレフィックス通知メッセージに分類される。なお、これらのメッセージは、ＶＰＮによる通信の確立を行うノード間で１回以上のパケット交換動作において送受信される単一のメッセージに限定されるものではなく、複数のメッセージを一括して送受信する形式で構成してもよい。さらに、これらのメッセージフォーマットは、ＶＰＮプロトコルのメッセージフォーマット、メッセージ交換方式に依存するように構成してもよい。
【００４０】
優劣決定メッセージは、ＶＰＮ接続を行うノード間（ＶＰＮ装置１００間）の優劣を決定するメッセージである。優劣は、両ＶＰＮ装置１００のノードＩＤを比較して大きい方のＶＰＮ装置１００を優位ノード、ノードＩＤが低いＶＰＮ装置１００を劣位ノードとして決定している。ここで、ノードＩＤは、ＩＰアドレスやＭＡＣアドレスまたはランダム文字列など一意に決定できる識別子であり、何らかの手段に一意的に決定することができれば、ＩＰアドレスやＭＡＣアドレス以外のものであってもよい。また、優劣の決定方法は本実施の形態のようにノードＩＤの大小によって決定する方法に限定されるものではなく、何らかの順序づけ可能な情報を双方で交換することによって優劣を決定するものであればよい。また、優劣決定メッセージとしてＶＰＮプロトコルで規定されている優劣決定機能を使用することができ、ＩＰアドレスなどのメッセージ以外で決定可能な情報を利用して暗黙のうちに優劣を決定することもできる。
【００４１】
プレフィックス取得メッセージは、ＶＰＮ接続を確立しようとしているＶＰＮ装置１００のそれぞれのネットワーク１０４で利用可能なネットワークプレフィックス等を交渉するために必要な各種情報を送受信するメッセージである。プレフィックス取得メッセージは、送受信する情報に基づいて、プレフィックス交渉メッセージ、プレフィックス取得方法メッセージ、プレフィックス配布方法メッセージ、プレフィックス配布形態メッセージの４種類のサブメッセージからなる。各サブメッセージのメッセージフォーマットなどはＶＰＮプロトコルの方式に対応するように定義すればよく、そのフォーマットは本発明に影響しない。
【００４２】
プレフィックス交渉メッセージは、ネットワークプレフィックスの交渉を行うか否かを示すメッセージであり、接続相手のＶＰＮ装置１００に対してプレフィックスの交渉が可能か否かの問い合わせを行うプレフィックス取得方法要求メッセージとその応答メッセージが該当する。
【００４３】
プレフィックス取得方法メッセージは、ネットワークプレフィックスの交渉を行う場合におけるネットワークプレフィックスの取得方法を交渉するメッセージであり、接続相手のＶＰＮ装置１００に対してプレフィックスの利用可能なあるいは希望する取得方法の問い合わせを行うプレフィックス取得方法要求メッセージとその応答メッセージが該当する。
【００４４】
プレフィックス配布方法メッセージは、ネットワークプレフィックスの交渉を行う場合におけるネットワークプレフィックスの配布方法を交渉するメッセージであり、接続相手のＶＰＮ装置１００に対してプレフィックスの利用可能なあるいは希望する配布方法の問い合わせを行うプレフィックス配布方法要求メッセージとその応答メッセージが該当する。
【００４５】
プレフィックス配布形態メッセージは、ネットワークプレフィックスの交渉を行う場合におけるネットワークプレフィックスの配布形態を交渉するメッセージであり、接続相手のＶＰＮ装置１００に対してプレフィックスの利用可能なあるいは希望する配布形態の問い合わせを行うプレフィックス配布形態要求メッセージとその応答メッセージが該当する。
【００４６】
ＶＰＮプレフィックスメッセージのプレフィックス通知メッセージは、優位ノードのＶＰＮ装置１００におけるプレフィックス取得処理の結果として割り当てられたＶＰＮプレフィックスを、プレフィックス取得方法、プレフィックス配布方法およびプレフィックス配布形態とともに、接続相手の劣位ノードのＶＰＮ装置１００に通知するメッセージである。このプレフィックス通知メッセージには、ＶＰＮプレフィックス交渉の拒否通知も含まれる。
【００４７】
上述した各メッセージを処理する際に必要な各情報は、後述する記憶部２００にＶＰＮポリシー情報２０３として保存されている。
【００４８】
ポリシー管理部２２０は、記憶部２００に保存されているＶＰＮ接続ポリシー情報２０３を管理するものである。具体的には、ポリシー管理部２２０は、プレフィックス処理部２１２によって上述したＶＰＮプレフィックスメッセージを生成して送信する場合に、ＶＰＮポリシー情報２０３から該当する情報を読み出してプレフィックス処理部２１２に受け渡す処理を行う。
【００４９】
ルータ広告処理部２４０は、ネットワーク１０４内に対してルータ広告（ＲＡ：Ｒｏｕｔｅｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔ）を送受信する処理を行う。
【００５０】
パケット受信部２５０は、ネットワークインタフェース２７０に到着したパケットを受信して、パケットの種類に応じてパケットを振り分ける処理を行う。
【００５１】
パケット送信部２６０は、ＶＰＮ装置１００内からネットワークに送信すべきパケットを受け取り、適切なネットワークインタフェース２７０にパケット送信を依頼する処理を行う。
【００５２】
パケット転送部２３０は、ネットワークインタフェース２７０間でパケットを転送する処理を行う。パケット転送部２３０は、転送するパケットを制御する処理を行うパケットフィルタ部２３１を備えている。
【００５３】
ＰＤクライアント部２１４は、後述するプレフィックス取得方法が「ＩＳＰ」である場合に、プレフィックス処理部２１２からの指令により、ＩＳＰ１０２のネットワーク側に存在するＰＤサーバ１０５に対してＤＨＣＰｖ６を利用したネットワークプレフィックスの獲得要求（ＰＤ（Ｐｒｅｆｉｘ  Ｄｅｌｅｇａｔｉｏｎ）要求）を送信して、ＰＤサーバ１０５から受信したネットワークプレフィックスを記憶部２００のＰＤクライアント情報２１３に登録する処理を行う。
【００５４】
複数のネットワークインタフェース２７０は、パケットを送受信する物理的なインタフェースであり、具体的にはネットワークボード等が該当する。また、ＶＰＮプロトコルにより接続相手のＶＰＮ装置１００との通信が確立したときに、ＶＰＮにより適切なネットワークインタフェースと関連付けされた仮想インタフェースが生成される場合がある。
【００５５】
記憶部２０１は、メモリやハードディスクドライブ装置（ＨＤＤ）等の記憶媒体であり、ＶＰＮ接続情報２０１、ネットワークプレフィックス情報２０２、ＶＰＮポリシー情報２０３と、ＰＤクライアント情報２１３が保存されている。ＰＤクライアント情報２１３には、ＰＤサーバ１０５から受信したネットワークプレフィックスが登録されている。ここで、記憶部２０１は、本発明における獲得識別情報記憶手段に相当する。
【００５６】
（ＶＰＮポリシー情報２０３の構造）
ＶＰＮポリシー情報２０３は、プレフィックス処理部２１２によるＶＰＮプレフィックスを決定する処理に関する情報であるＶＰＮポリシーが登録されたデータである。ＶＰＮポリシー情報２０３は、プレフィックス処理部２１２によりＶＰＮプレフィックスを決定する際におけるＶＰＮプレフィックスメッセージの生成時に、ポリシー管理部２２０によってＶＰＮプレフィックスメッセージに応じて参照され、また接続相手のＶＰＮ装置１００とのＶＰＮ接続ごとに設定される。
【００５７】
図３は、ＶＰＮポリシー情報２０３の構造を示すデータ構造図である。ＶＰＮポリシー情報２０３は、図３に示すように、ＶＰＮ装置１００の全体のＶＰＮポリシーである全体設定と、ＶＰＮ接続ごとのＶＰＮポリシーである接続設定が登録されている。
【００５８】
ＶＰＮポリシー情報２０３の全体設定には、プレフィックス交渉機能と、プレフィックス取得方法と、プレフィックス配布方法と、プレフィックス配布形態の各フィールドが設けられている。これらは、システム全体の標準的な動作設定として機能する。また、ＶＰＮポリシー情報２０３には、ＶＰＮ接続ごとに、アクセス元アドレス、プレフィックス取得方法、プレフィックス配布方法、プレフィックス配布形態の各フィールドが設けられている。これらは、アクセス元アドレスによって特定されるＶＰＮ接続相手に対するポリシーであり、全体設定に優先する。
【００５９】
プレフィックス交渉機能フィールドは、ＶＰＮプレフィックスの決定の際に接続相手のＶＰＮ装置１００と交渉を行うか否かを示すものであり、交渉可能な場合には「有効」が設定され、交渉不可能な場合には「無効」が設定される。
【００６０】
プレフィックス取得方法フィールドは、ネットワークプレフィックスの取得方法を設定したフィールドであり、プレフィックス取得方法メッセージの生成時に参照される。プレフィックス取得方法のフィールドには、「ローカルプール」、「ＩＳＰ」、「Ｕｎｉｑｕｅ  Ｌｏｃａｌ  ＩＰｖ６  Ｕｎｉｃａｓｔ  Ａｄｄｒｅｓｓ」、「ランダム」が設定可能である。
【００６１】
「ローカルプール」は、自己のＶＰＮ装置１００内で管理されているネットワークプレフィックス情報２０２の中からネットワークプレフィックスを選定してＶＰＮプレフィックスとして決定するプレフィックス取得方法である。
【００６２】
「ＩＳＰ」は、ＩＳＰ１０２のネットワークを利用してネットワークプレフィックスを取得してＶＰＮプレフィックスとして決定するプレフィックス取得方法である。具体的には、ＰＤクライアント部２１４によってＩＳＰ１０２のネットワーク側に存在するＰＤサーバ１０５に対してネットワークプレフィックスの獲得要求（ＰＤ要求）を行い、その応答メッセージ（ＰＤ応答）からネットワークプレフィックスを取得する。ＰＤサーバ１０５から割り当てられるネットワークプレフィックスは、獲得要求を行ったＶＰＮ装置１００が属するＩＳＰ１０２のネットワークに依存するネットワークプレフィックスの他、それ以外のネットワークプレフィックスであってもよく、ＩＳＰ１０２とＩＳＰ加入者との間の契約に基づいてネットワークプレフィックスの割り当てられるようになっている。
【００６３】
「Ｕｎｉｑｕｅ  Ｌｏｃａｌ  ＩＰｖ６  Ｕｎｉｃａｓｔ  Ａｄｄｒｅｓｓ」は、ＩＰｖ６プロトコルで予め定められた規則であるＵｎｉｑｕｅ  Ｌｏｃａｌ  ＩＰｖ６  Ｕｎｉｃａｓｔ  Ａｄｄｒｅｓｓの規則に従って生成したアドレスをＶＰＮプレフィックスとして決定するプレフィックス取得方法である。Ｕｎｉｑｕｅ  Ｌｏｃａｌ  ＩＰｖ６  Ｕｎｉｃａｓｔ  Ａｄｄｒｅｓｓは、ローカルネットワークで使用可能な一意性のあるアドレスである。
【００６４】
「ランダム」は、ランダムにネットワークプレフィックスを生成して、自己のＶＰＮ装置１００内で管理されているネットワークプレフィックス情報２０２に登録されているネットワークプレフィックスと重複しないものをＶＰＮプレフィックスとして決定するプレフィックス取得方法である。
【００６５】
なお、このように本実施の形態では、プレフィックスの取得方法は４種類用意されているが、かかる方法に限定されるものではなく、ネットワークプレフィックスを有効に取得することができる方法であればいずれの方法も採用することができる。
【００６６】
また、４種類の取得方法に優先順位を設けて、ネットワークプレフィックスが取得できるまで、各取得方法を優先順位順に実行するように構成してもよい。例えば、「ローカルプール」、「ＩＳＰ」、「Ｕｎｉｑｕｅ  Ｌｏｃａｌ  ＩＰｖ６  Ｕｎｉｃａｓｔ  Ａｄｄｒｅｓｓ」の順に優先順位を高く設定し、まず「ローカルプール」の取得方法によりネットワークプレフィックスの取得を試み、取得できなかった場合には、「ＩＳＰ」の取得方法によりネットワークプレフィックスの取得を試み、「ＩＳＰ」の取得方法でもネットワークプレフィックスを取得できなかった場合には、「Ｕｎｉｑｕｅ  Ｌｏｃａｌ  ＩＰｖ６  Ｕｎｉｃａｓｔ  Ａｄｄｒｅｓｓ」の取得方法によりネットワークプレフィックスの取得を実行するように構成することができる。
【００６７】
プレフィックス配布方法フィールドは、ＶＰＮプレフィックスの配布方法を設定したフィールドであり、プレフィックス配布方法メッセージの生成時に参照される。プレフィックス配布方法のフィールドには、「ＲＡ通知」と「ＲＡ依頼」が設定可能である。
【００６８】
「ＲＡ通知」は、ルータ広告処理部２４０によりＶＰＮプレフィックスを指定したルータ広告（ＲＡ：Ｒｏｕｔｅｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔ）を自己のネットワーク１０４内に送信することによりＶＰＮプレフィックスを配布する方法である。
【００６９】
「ＲＡ依頼」は、ルータ装置１０１に対してＶＰＮプレフィックスのＲＡによる配布を依頼することによってＶＰＮプレフィックスを配布する方法である。具体的には、ルータ広告処理部２４０によりＶＰＮプレフィックスを指定したＲＡ依頼メッセージをルータ装置１０１に対して送信し、当該ＲＡ依頼メッセージを受信したルータ装置１０１がＶＰＮプレフィックスを指定したＲＡをネットワーク１０４内に送信することによってＶＰＮプレフィックスがネットワーク１０４内に配布される。
【００７０】
プレフィックス配布形態フィールドは、ＶＰＮプレフィックスの配布方法を設定したフィールドであり、プレフィックス配布形態メッセージの生成時に参照される。プレフィックス配布形態のフィールドには、「個別」と「一括」が設定可能である。
【００７１】
「個別」は、個別配布の意であり、ＶＰＮ接続されたネットワークごとに個別にＲＡを送信し、ＶＰＮプレフィックスを通知する配布形態である。プレフィックスの通知に関しては、各ネットワークのＶＰＮ装置が責任を持って行うものとし、ＶＰＮを経由したＶＰＮプレフィックスの通知は管理者が意図的に設定した場合を除き、一切行われない。ＶＰＮ装置は装置内に具備するパケットフィルタ部を調整してすべてのＲＡがＶＰＮを通過しないように設定する。
【００７２】
一方、「一括」は、一括配布の意であり、ＶＰＮ接続されたネットワーク全体で１つのＲＡ送信ノードを設置し、当該ノードがＶＰＮ全体にＶＰＮプレフィックスを通知するものである。この場合、ＶＰＮプレフィックスの通知に関しては、優位ノードのＶＰＮ装置１００または優位ノードのＶＰＮ装置１００からＲＡ依頼メッセージを受信したルータ装置１０２が責任を持って行う。ＶＰＮ装置１００はパケットフィルタ部２３１を調整して、ＶＰＮプレフィックスまたは管理者が許可したプレフィックス以外のプレフィックスを広告するＲＡがＶＰＮを通過しないように設定する。
【００７３】
ＶＰＮポリシー情報２０３の接続設定のアクセス元アドレスは、接続相手のＶＰＮ装置１００のアドレスである。
【００７４】
（ＶＰＮ接続情報２０１の構造）
ＶＰＮ接続情報２０１は、ＶＰＮ接続ごとにＶＰＮ接続におけるパケットフィルタリングに関するデータが登録されたものである。図４は、ＶＰＮ接続情報２０１の構造の一例を示す説明図である。図４に示すように、ＶＰＮ接続情報２０１には、各ＶＰＮ接続を識別するためのＶＰＮ−ＩＤごとに、ＶＰＮプロトコルに関する各種データを示すＶＰＮプロトコル固有情報と、パケットフィルタ設定の内容を示すフィルタリング情報と、ルータ装置１０１に依頼するパケットフィルタリングのデータであるフィルタリング依頼情報が登録されている。
【００７５】
（ネットワークプレフィックス情報２０２の構造）
ネットワークプレフィックス情報２０２は、ＶＰＮ装置１００で管理するネットワークプレフィックスを登録したデータファイルである。図５は、ネットワークプレフィックス情報２０２の構造の一例を示す説明図である。図５に示すように、ネットワークプレフィックス情報２０２には、プレフィックスと、ＶＰＮ−ＩＤと、使用中と、配布方法と、配布形態と、配布と、配布用アドレスの各フィールドが対応付けられて設けられている。このネットワークプレフィックス情報２０２は、プレフィックス処理部２１２によって情報が設定される。
【００７６】
プレフィックスフィールドは、ＶＰＮ装置１００内で管理するネットワークプレフィックスを示すフィールドである。
【００７７】
ＶＰＮ−ＩＤフィールドは、各ＶＰＮ接続を識別するための固有の識別情報を示すフィールドである。なお、他のノードと接続されているが、ＶＰＮプロトコルによる接続でないプレフィックスフィールドのネットワークプレフィックスに対しては、「−１」が設定される。
【００７８】
使用中フィールドは、プレフィックスフィールドのネットワークプレフィックスが既にＶＰＮ接続でＶＰＮプレフィックスとして使用されているか否かを示すフィールドであり、既にＶＰＮ接続でＶＰＮプレフィックスとして使用されている場合には「使用中」、ＶＰＮプレフィックスとして使用されていない場合には「未使用」が設定される。
【００７９】
配布方法フィールドは、ＶＰＮ接続されておりＶＰＮプレフィックスとして決定されたプレフィックスフィールドのネットワークプレフィックスの配布方法を示すフィールドである。配布方法フィールドには、上述した「ＲＡ通知」または「ＲＡ依頼」が設定される。
【００８０】
配布形態フィールドは、ＶＰＮ接続されておりＶＰＮプレフィックスとして決定されたプレフィックスフィールドのネットワークプレフィックスの配布形態を示すフィールドである。配布形態フィールドには、「個別」または「一括」が設定される。
【００８１】
配布フィールドは、ＶＰＮ接続されておりＶＰＮプレフィックスとして決定されたネットワークプレフィックスが配布済みか否かを示すフィールドであり、ルータ広告やルータ要請により配布された場合には「配布」が設定され、まだ配布されていない場合には「未配布」が設定される。
【００８２】
配布用アドレスフィールドは、ＶＰＮプレフィックスとして決定されたネットワークプレフィックスを配布する際に該ＶＰＮプレフィックスの配布専用のリンクローカルアドレスを使用する場合に、そのリンクローカルアドレスが設定されるフィールドである。ＶＰＮプレフィックスの配布専用のリンクローカルアドレスを使用しない場合には、配布用アドレスフィールドには何も設定されない。
【００８３】
図５に示す例では、プレフィックス 「3ffe:db8:1000:1::/64」はＶＰＮ装置による通知であり、各ネットワーク毎の個別配布を行い、且つＶＰＮ装置はＡ１というアドレスを使ってプレフィックスを配布していることを示している。また、プレフィックス「3ffe:db8:1000:3::/64」は、ＲＡ依頼、一括配布を行っており、図５の表を管理するノードは配布を行っていないことを示している。配布を行っていないため、配布用アドレスは空白となっている。また、未使用プレフィックスおよび全体プレフィックスに対する各列項目は空白とし、値を持っていないことを示している。
【００８４】
（ＶＰＮプレフィックス決定の全体処理）
次に以上のように構成された本実施の形態にかかるＶＰＮ装置１００によるプレフィックス決定処理について説明する。図６−１および図６−２は、実施の形態にかかるＶＰＮ装置１００によるプレフィックス決定の全体処理の手順を示すフローチャートである。
【００８５】
ＶＰＮ装置１００は、ＶＰＮプロトコル依存処理部２１１による初期設定とポリシー管理部２２０によるポリシー設定を行う（ステップＳ６０１）。そして、利用者によってＶＰＮ接続操作がなされたか否かを判断し（ステップＳ６０２）、ＶＰＮ接続操作がなされた場合には（ステップＳ６０２：Ｙｅｓ）、ＶＰＮ接続確立の処理におけるＶＰＮ接続要求側の処理を開始する。すなわち、ポリシー管理部２２０によって、ＶＰＮポリシー情報２０３の接続設定における接続相手のアクセス元アドレスで識別される一連のエントリ（以下、「接続相手に対応するＶＰＮポリシー情報２０３」という。）を読み出す（ステップＳ６０３）。そして、読み出したＶＰＮポリシー情報２０３に基づいて、ＶＰＮプロトコル依存部２１１によってＶＰＮ接続要求メッセージを生成し（ステップＳ６０４）、パケット送信部２６０によって接続相手のＶＰＮ装置１００にＶＰＮ接続要求メッセージを送信する（ステップＳ６０５）。
【００８６】
その後、パケット受信部２５０によって接続相手のＶＰＮ装置１００からＶＰＮ接続要求メッセージに対するＶＰＮ接続要求応答メッセージを受信すると（ステップＳ６０６）、プレフィックス処理部２１２によって、ステップＳ６０３で読み出した接続相手に対応するＶＰＮポリシー情報２０３のプレフィックス交渉機能と、ＶＰＮポリシー情報２０３の全体設定から自己のプレフィックス交渉機能とを指定してプレフィックス交渉メッセージを生成して接続相手のＶＰＮ装置１００に送信する（ステップＳ６０７）。
【００８７】
その後、プレフィックス交渉メッセージに対するプレフィックス交渉応答メッセージを受信すると（ステップＳ６０８）、プレフィックス処理部２１２によって、受信したプレフィックス交渉応答メッセージに含まれる接続相手のプレフィックス交渉機能の内容とポリシー情報２０３の全体設定における自己のプレフィックス交渉機能が共に有効か否かを判断することにより、プレフィックス交渉可能か否かを判断する（ステップＳ６０９）。
【００８８】
そして、接続相手のプレフィックス交渉機能と自己のプレフィックス交渉機能が共に有効である場合にはプレフィックス交渉可能であると判断し（ステップＳ６０９：Ｙｅｓ）、ステップＳ６１６の優劣決定処理に進む。
【００８９】
一方、ステップＳ６０９において、接続相手のプレフィックス交渉機能と自己のプレフィックス交渉機能のいずれかが無効である場合にはプレフィックス交渉不可能であると判断し（ステップＳ６０９：Ｎｏ）、プレフィックス決定の処理を続行せずに、ステップＳ６２７の終了要求受信待ち状態となる。なお、この際に、さらに、プレフィックス交渉不可能である旨のエラーメッセージを接続相手に送信するように構成してもよい。
【００９０】
ステップＳ６０２に戻り、ＶＰＮ接続操作がなされていない場合には（ステップＳ６０２：Ｎｏ）、ＶＰＮ接続確立の処理におけるＶＰＮ接続要求待ち受け側の処理を開始する。すなわち、ＶＰＮプロトコル依存処理部２１１によって、ＶＰＮ接続要求受信待ちとなる（ステップＳ６１０）。そして、ＶＰＮ接続要求メッセージを受信した場合には、ＶＰＮプロトコル依存処理部２１１によって、接続相手のＶＰＮ装置１００とＶＰＮプロトコルに従って公知の手法でＶＰＮ接続処理を行う（ステップＳ６１１）。このＶＰＮ接続処理において、ＶＰＮ接続要求メッセージによる接続相手のＶＰＮ装置１００に対応するＶＰＮポリシー情報２０３（接続相手の接続設定）の読み出し処理、ＶＰＮプロトコルによる接続確立の処理、受信したＶＰＮ接続要求メッセージに対するＶＰＮ接続が正常に行われた旨のＶＰＮ接続要求応答メッセージが接続要求を行ったＶＰＮ装置１００への送信処理など、ＶＰＮプロトコルに依存する処理が実行される。
【００９１】
次いで、ＶＰＮプロトコル依存処理部２１１は、プレフィックス交渉メッセージを受信したか否かを判断する（ステップＳ６１２）。ここで、プレフィックス交渉メッセージはＶＰＮ接続要求メッセージとは別個に受信する場合の他、受信したＶＰＮ接続要求メッセージ等の通常のＶＰＮプロトコルに従った処理において受信したメッセージに含まれている場合もあり、この場合には、ＶＰＮプロトコル依存処理部２１１によって受信したメッセージからプレフィックス交渉メッセージを抽出する。
【００９２】
そして、ポリシー管理部２２０によって、接続相手のＶＰＮ装置１００に対応するＶＰＮポリシー情報２０３（ＶＰＮポリシー情報２０３における接続相手のアクセス元アドレスで識別されるの接続設定の一連のエントリ）を読み出す（ステップＳ６１３）。なお、接続相手のアクセス元アドレスの接続設定がＶＰＮポリシー情報２０３に存在しない場合には、ＶＰＮポリシー情報２０３の全体設定が読み出される。そして、自己のＶＰＮポリシー情報２０３のプレフィックス交渉機能を含めたプレフィックス交渉応答メッセージをプレフィックス交渉メッセージを送信した接続相手のＶＰＮ装置１００に送信する（ステップＳ６１４）。
【００９３】
次いで、プレフィックス処理部２１２によって、ステップＳ６１２で受信したプレフィックス交渉メッセージに含まれる接続相手のプレフィックス交渉機能の内容とポリシー情報２０３の全体設定における自己のプレフィックス交渉機能が共に有効か否かを判断することにより、プレフィックス交渉可能か否かを判断する（ステップＳ６１５）。
【００９４】
そして、接続相手のプレフィックス交渉機能と自己のプレフィックス交渉機能が共に有効である場合にはプレフィックス交渉可能であると判断し（ステップＳ６１５：Ｙｅｓ）、ステップＳ６１６の優劣決定処理に進む。
【００９５】
一方、ステップＳ６１５において、接続相手のプレフィックス交渉機能と自己のプレフィックス交渉機能のいずれかが無効である場合にはプレフィックス交渉不可能であると判断し（ステップＳ６１５：Ｎｏ）、プレフィックス決定の処理を続行せずに、ステップＳ６２７の終了要求受信待ち状態となる。なお、この際に、さらに、プレフィックス交渉不可能である旨のエラーメッセージを接続相手に送信するように構成してもよい。
【００９６】
ＶＰＮ接続要求送信側のＶＰＮ装置１００においてステップＳ６０９でプレフィックス交渉可能であると判断された場合（ステップＳ６０９：Ｙｅｓ）、およびＶＰＮ接続要求待ち受け側のＶＰＮ装置１００においてステップＳ６１５でプレフィックス交渉が可能であると判断された場合（ステップＳ６１５：Ｙｅｓ）、ＶＰＮプレフィックスを決定する処理を行う優位ノードと決定されたＶＰＮプレフィックスの通知を受ける劣位ノードを決定する優劣決定処理を実行する（ステップＳ６１６）。
【００９７】
優劣決定処理がなされ優位ノードと劣位ノードが決定された場合には、プレフィックス処理部２１２によって、ネットワークプレフィックスの取得方法を決定するプレフィックス取得方法決定処理（ステップＳ６１７）、決定されたＶＰＮプレフィックスの配布方法を決定するプレフィックス配布方法決定処理（ステップＳ６１８）および決定されたＶＰＮプレフィックスの配布形態を決定するプレフィックス配布形態決定処理（ステップＳ６１９）を順次実行する。なお、優劣決定処理、プレフィックス取得方法決定処理、プレフィックス配布方法決定処理およびプレフィックス取得携帯決定処理の詳細については後述する。
【００９８】
プレフィックス配布形態決定処理を実行したら、プレフィックス処理部２１２によって、自ＶＰＮ装置１００が優劣決定処理で優位ノードとなったか否かを判断する（ステップＳ６２０）。
【００９９】
そして、自ＶＰＮ装置１００が優位ノードである場合には（ステップＳ６２０：Ｙｅｓ）、プレフィックス処理部２１２によって、ネットワークプレフィックスを取得してＶＰＮプレフィックスを決定するプレフィックス取得処理を実行する（ステップＳ６２１）。なお、プレフィックス取得処理の詳細については後述する。
【０１００】
そして、プレフィックス処理部２１２によって、プレフィックス取得処理で決定されたＶＰＮプレフィックスを接続相手のＶＰＮ装置１００に通知するためのプレフィックス通知メッセージを生成し（ステップＳ６２２）、生成したプレフィックス通知メッセージを接続相手のＶＰＮ装置１００に送信する（ステップＳ６２３）。
【０１０１】
ステップＳ６２０において、自ＶＰＮ装置１００が劣位ノードである場合には（ステップＳ６２０：Ｎｏ）、パケット受信部２５０によって、優位ノードのＶＰＮ装置１００で決定されたＶＰＮプレフィックスを含むプレフィックス通知メッセージを受信する（ステップＳ６２４）。
【０１０２】
次に、パケットフィルタ部２３１によってパケットフィルタ設定の変更処理を行い（ステップＳ６２５）、その後、ルータ広告処理部２４０によってＶＰＮ装置１００が管理するネットワーク１０４内に決定されたＶＰＮプレフィックスの配布処理を行う（ステップＳ６２６）。なお、パケットフィルタ設定の変更処理およびプレフィックスの配布処理の詳細については後述する。
【０１０３】
プレフィックスの配布処理が終了すると、終了要求受信待ち状態となる（ステップＳ６２７）。そして、終了要求を受信すると、対応するＶＰＮ接続を停止し（ステップＳ６２８）、対応するＶＰＮ関連のＲＡを停止し（ステップＳ６２９）、さらに対応するＶＰＮ関連のパケットフィルタ設定を解除する（ステップＳ６３０）。
【０１０４】
以上のようにＶＰＮ接続の確立の際に、接続相手のＶＰＮ装置１００とプレフィックスメッセージの送受信により交渉が行われＶＰＮの通信に使用されるネットワークプレフィックスであるＶＰＮプレフィックスが決定されてネットワーク１０４内に配布されることになる。
【０１０５】
上述したＶＰＮプレフィックス決定の流れを、ＶＰＮ接続する２つのＶＰＮ装置１００間を例にあげて説明する。まず、ルータ機能を有するＶＰＮ装置１００ｃ、１００ｄ間でＶＰＮ接続をしてプレフィックス決定を行う場合について説明する。
【０１０６】
図７は、実施の形態１にかかるルータ機能を有するＶＰＮ装置１００ｃ，１００ｄ間においてプレフィックス決定処理の際に送受信されるメッセージをやりとりを示すシーケンス図である。ここで、ＶＰＮ接続要求をおこなうＶＰＮ装置をＶＰＮ装置Ａ、ＶＰＮ接続待ちのＶＰＮ装置をＶＰＮ装置Ｂとする。
【０１０７】
接続要求側のＶＰＮ装置Ａは、ポリシー管理部２２０によって接続相手であるＶＰＮ装置Ｂに対応するＶＰＮポリシー情報２０３（ＶＰＮ装置Ｂの接続設定）を読み出す（ステップＳ７０１）。そして、ＶＰＮプロトコル依存処理部２１１によって、ＶＰＮ接続要求メッセージをＶＰＮ装置Ｂに送信する（ステップＳ７０２）。ＶＰＮ装置Ｂでは、ＶＰＮ接続要求メッセージを受信すると、ポリシー管理部２２０によって、接続相手であるＶＰＮ装置Ａに対応するＶＰＮポリシー情報２０３（ＶＰＮ装置Ａの接続設定）を読み出す（ステップＳ７０３）。そして、ＶＰＮプロトコル依存処理部２１１によってＶＰＮプロトコルに従った接続処理を行って、ＶＰＮ装置ＡにＶＰＮ接続応答メッセージを送信する（ステップＳ７０４）。
【０１０８】
ＶＰＮ装置Ａでは、プレフィックス処理部２１２によりプレフィックス交渉メッセージをＶＰＮ装置Ｂに送信し（ステップＳ７０５）、これを受信したＶＰＮ装置Ｂではプレフィックス処理部２１２によりプレフィックス交渉が可能か否かを判断して、その応答としてプレフィックス交渉応答メッセージをＶＰＮ装置Ａに送信する（ステップＳ７０６）。
【０１０９】
次に、ＶＰＮ装置ＡおよびＶＰＮ装置Ｂのそれぞれでは、プレフィックス処理部２１２により後述する優劣決定処理を行う（ステップＳ７０７）。この優劣決定処理において、２つのＶＰＮ装置間で自己のノードＩＤを指定した優劣決定メッセージが送受信される（ステップＳ７０８、Ｓ７０９）。なお、図７の例では、優位ノードがＶＰＮ装置Ｂ、劣位ノードがＶＰＮ装置Ａとして決定されたものとする。
【０１１０】
次に、劣位ノードであるＶＰＮ装置Ａは、プレフィックス処理部２１２によって自己が利用可能なあるいは希望するプレフィックス取得方法を指定したプレフィックス取得方法要求メッセージをＶＰＮ装置Ｂに送信する（ステップＳ７１０）。プレフィックス取得方法要求メッセージを受信した優位ノードのＶＰＮ装置Ｂは、プレフィックス処理部２１２によって受信したプレフィックス取得方法要求メッセージと自己のＶＰＮポリシー情報２０３（全体設定）に基づいてプレフィックス取得方法の決定処理を行い（ステップＳ７１１）、決定したプレフィックス取得方法を指定したプレフィックス取得方法要求に対する応答メッセージを劣位ノードのＶＰＮ装置Ａに送信する（ステップＳ７１２）。なお、図７の例では、プレフィックス取得方法として「ローカルプール」が決定されたものとする。
【０１１１】
次に、ＶＰＮ装置Ａは、プレフィックス処理部２１２によって自己が利用可能なあるいは希望するプレフィックス配布方法を指定したプレフィックス配布方法要求メッセージをＶＰＮ装置Ｂに送信する（ステップＳ７１３）。プレフィックス配布方法要求メッセージを受信した優位ノードのＶＰＮ装置Ｂは、プレフィックス処理部２１２によって受信したプレフィックス配布方法要求メッセージと自己のＶＰＮポリシー情報２０３（全体設定）に基づいてプレフィックス配布方法の決定処理を行い（ステップＳ７１４）、決定したプレフィックス配布方法を指定したプレフィックス配布方法要求に対する応答メッセージを劣位ノードのＶＰＮ装置Ａに送信する（ステップＳ７１５）。なお、図７の例では、プレフィックス配布方法として「ＲＡ通知」が決定されたものとする。
【０１１２】
次に、ＶＰＮ装置Ａは、プレフィックス処理部２１２によって自己が利用可能なあるいは希望するプレフィックス配布形態を指定したプレフィックス配布形態要求メッセージをＶＰＮ装置Ｂに送信する（ステップＳ７１６）。プレフィックス配布方法要求メッセージを受信した優位ノードのＶＰＮ装置Ｂは、プレフィックス処理部２１２によって受信したプレフィックス配布形態要求メッセージと自己のＶＰＮポリシー情報２０３（全体設定およびＶＰＮポリシー情報２０３におけるＶＰＮ装置Ａのアドレス（アクセス元アドレス）で識別される接続設定）に基づいてプレフィックス配布形態の決定処理を行い（ステップＳ７１７）、決定したプレフィックス配布形態を指定したプレフィックス配布形態要求に対する応答メッセージを劣位ノードのＶＰＮ装置Ａに送信する（ステップＳ７１８）。なお、図７の例では、プレフィックス配布形態として「個別」が決定されたものとする。
【０１１３】
その後、ＶＰＮ装置Ｂは、プレフィックス処理部２１２によって、プレフィックス取得処理を行ってＶＰＮプレフィックスを決定し（ステップＳ７１９）、決定したＶＰＮプレフィックスを指定したプレフィックス通知メッセージを劣位ノードのＶＰＮ装置Ａに送信する（ステップＳ７２０）。そして、パケットフィルタ部２３１によってＶＰＮプレフィックスに基づいてパケットフィルタ設定の変更処理を行い（ステップＳ７２１）、ルータ広告処理部２４０によってＶＰＮプレフィックスを指定したＲＡを自己のネットワーク内１０４に送信することにより、ＶＰＮプレフィックスを配布する（ステップＳ７２２）。
【０１１４】
一方、プレフィックス通知メッセージによってＶＰＮプレフィックスを通知されたＶＰＮ装置Ａでも、パケットフィルタ部２３１によってＶＰＮプレフィックスに基づいてパケットフィルタ設定の変更処理を行い（ステップＳ７２３）、ルータ広告処理部２４０によってＶＰＮプレフィックスを指定したルータ広告（ＲＡ）を自己のネットワーク内１０４に送信することにより、ＶＰＮプレフィックスを配布する（ステップＳ７２４）。
【０１１５】
このようにして、ＶＰＮ装置ＡとＶＰＮ装置Ｂとの間でプレフィックス決定のための交渉が行われ、ＶＰＮプレフィックスを決定してネットワーク内に配布されることになる。なお、プレフィックス配布形態として「一括」が決定された場合には、優位ノードであるＶＰＮ装置Ｂから自己のネットワーク１０４内だけでなく、ＶＰＮ装置Ａのネットワーク１０４内にもＲＡでＶＰＮプレフィックスが配布されることになる。
【０１１６】
図７では、実施の形態にかかるルータ機能を有しているＶＰＮ装置１００ｃ，１００ｄ間でプレフィックス決定のための交渉を行う例を示したが、次に、実施の形態にかかるルータ機能のないＶＰＮ装置１００ａ，１００ｂ間におけるプレフィックス決定のための交渉のやりとりについて説明する。
【０１１７】
図８は、実施の形態１にかかるルータ機能のないＶＰＮ装置１００ａ，１００ｂ間においてプレフィックス決定処理の際に送受信されるメッセージをやりとりを示すシーケンス図である。ここで、ＶＰＮ接続要求をおこなうＶＰＮ装置をＶＰＮ装置Ａ、ＶＰＮ接続要求待ち側のＶＰＮ装置をＶＰＮ装置Ｂとする。ＶＰＮ装置Ａのネットワーク内のルータ装置をルータ装置Ａ、ＶＰＮ装置Ｂのネットワーク内のルータ装置をルータ装置Ｂとする。
【０１１８】
ＶＰＮ接続要求側のＶＰＮ装置ＡによりＶＰＮポリシー情報２０３の読み出し、ＶＰＮ接続要求メッセージの送信から優位ノードとなったＶＰＮ装置Ｂによるプレフィックス通知までの処理（ステップＳ８０１〜Ｓ８２０）については、図７の例（ステップＳ７０１〜Ｓ７２０）と同様に行われる。ここで、図８の例では、プレフィックス取得方法として「ローカルプール」が、プレフィックス配布方法として「ＲＡ依頼」が、プレフィックス配布形態として「個別」が、それぞれ両ＶＰＮ装置間の交渉により決定されたものとする。
【０１１９】
ＶＰＮ装置Ｂにより、決定したＶＰＮプレフィックスを指定したプレフィックス通知メッセージを劣位ノードのＶＰＮ装置Ａに送信したら、パケットフィルタ部２３１によって、ＶＰＮプレフィックスに基づいてパケットフィルタ設定の変更処理を行い（ステップＳ８２１）、ルータ装置Ｂにパケットフィルタ設定変更のフィルタリング依頼を送信する（ステップＳ８２２）。ルータ装置Ｂでは、受信したフィルタリング依頼の内容に基づいてパケットフィルタ設定を変更する。
【０１２０】
次に、ＶＰＮ装置Ｂは、ルータ広告処理部２４０によって、ＶＰＮプレフィックスを指定したＲＡ依頼メッセージをルータ装置Ｂに送信する（ステップＳ８２３）。ＲＡ依頼メッセージを受信したルータ装置Ｂは、ＲＡ依頼メッセージで指定されたＶＰＮプレフィックスを含めたＲＡをネットワーク１０４内に送信することによって配布する（ステップＳ８２４）。
【０１２１】
一方、プレフィックス通知メッセージによってＶＰＮプレフィックスを通知されたＶＰＮ装置Ａでも、パケットフィルタ部２３１によって、ＶＰＮプレフィックスに基づいてパケットフィルタ設定の変更処理を行い（ステップＳ８２５）、ルータ装置Ｂにパケットフィルタ設定変更のフィルタリング依頼を送信する（ステップＳ８２６）。ルータ装置Ｂでは、受信したフィルタリング依頼の内容に基づいてパケットフィルタ設定を変更する。
【０１２２】
次に、ＶＰＮ装置Ｂは、ルータ広告処理部２４０によって、ＶＰＮプレフィックスを指定したＲＡ依頼メッセージをルータ装置Ｂに送信する（ステップＳ８２７）。ＲＡ依頼メッセージを受信したルータ装置Ｂは、ＲＡ依頼依頼メッセージで指定されたＶＰＮプレフィックスを含めたＲＡをネットワーク１０４内に送信することによって配布する（ステップＳ８２８）。
【０１２３】
このようにして、ＶＰＮ装置ＡとＶＰＮ装置Ｂとの間でプレフィックス決定のための交渉が行われ、ＶＰＮプレフィックスを決定してネットワーク内に配布されることになる。
【０１２４】
（優劣決定処理）
次に、プレフィックス決定の全体処理におけるステップＳ６１６のプレフィックス処理部２１２による優劣決定処理について説明する。図９は、プレフィックス処理部２１２による優劣決定処理の手順を示すフローチャートである。
【０１２５】
まず、プレフィックス処理部２１２は、自己のＶＰＮ装置１００のノードＩＤを決定しＩＤ＿Ａとする（ステップＳ９０１）。ここで、ノードＩＤは、ＩＰアドレスやＶＰＮプロトコル固有のＩＤなど順序付けが可能な値である。順序づけが可能な値であれば、ＩＰアドレスやＶＰＮプロトコル固有のＩＤ以外の値をノードＩＤとして採用することもできる。
【０１２６】
次に、プレフィックス処理部２１２によってＩＤ＿Ａを含めた優劣決定メッセージを生成し（ステップＳ９０２）、生成された優劣決定メッセージを、パケット送信部２６０によって接続相手のＶＰＮ装置１００に送信する（ステップＳ９０３）。かかるメッセージを受信した接続相手のＶＰＮ装置１００においても、接続相手のＶＰＮ装置１００自身のノードＩＤを含めた優劣決定メッセージを送信してくるので、これをパケット受信部２５０で受信する（ステップＳ９０４）。そして、プレフィックス処理部２１２によって、受信した優劣決定メッセージから接続相手のノードＩＤを取得し、ＩＤ＿Ｂとする（ステップＳ９０５）。
【０１２７】
次に、プレフィックス処理部２１２によって、自己のノードＩＤであるＩＤ＿Ａと接続相手のノードＩＤを比較し、ＩＤ＿ＡがＩＤ＿Ｂより小さいかどうかを調べる（ステップＳ９０６）。
【０１２８】
そして、ＩＤ＿ＡがＩＤ＿Ｂより小さい場合には（ステップＳ９０６：Ｙｅｓ）、自ＶＰＮ装置１００は劣位ノード（接続相手のＶＰＮ１００は優位ノード）と決定する（ステップＳ９０７）。一方、ＩＤ＿ＡがＩＤ＿Ｂ以上である場合には（ステップＳ９０６：Ｎｏ）、自ＶＰＮ装置１００は優位ノード（接続相手のＶＰＮ１００は劣位ノード）と決定する（ステップＳ９０８）。
【０１２９】
このような優劣決定処理は、ＶＰＮ接続する２つのＶＰＮ装置１００でそれぞれ実行されることになる。
【０１３０】
（プレフィックス取得方法決定処理）
次に、プレフィックス決定の全体処理におけるステップＳ６１７のプレフィックス取得方法決定処理について説明する。図１０は、プレフィックス取得方法決定処理の手順を示すフローチャートである。
【０１３１】
まず、プレフィックス処理部２１２によって、自ＶＰＮ装置１００が劣位ノードか否かを判断する（ステップＳ１００１）。そして、劣位ノードである場合には（ステップＳ１００１：Ｙｅｓ）、ポリシー管理部２２０によってＶＰＮポリシー情報２０３を読み出す（ステップＳ１００２）。そして、ＶＰＮポリシー情報２０３に登録されている自ＶＰＮ装置１００が利用可能なあるいは希望するプレフィックス取得方法を指定したプレフィックス取得方法要求メッセージを生成し（ステップＳ１００３）、生成したプレフィックス取得方法要求メッセージをパケット送信部２６０によって接続相手のＶＰＮ装置１００に送信する（ステップＳ１００４）。そして、パケット受信部２５０によって、接続相手の優位ノードであるＶＰＮ装置１００からプレフィックス取得方法要求メッセージに対する応答メッセージを受信する（ステップＳ１００５）。このプレフィックス取得方法要求メッセージに対する応答メッセージには、優位ノードのＶＰＮ装置１００におけるプレフィックス取得方法決定処理（後述するステップＳ１００６〜Ｓ１０１０）で決定されたプレフィックス取得方法が含まれている。
【０１３２】
ステップＳ１００１に戻り、自ＶＰＮ装置１００が優位ノードである場合には（ステップＳ１００１：Ｎｏ）、ポリシー管理部２２０によってＶＰＮポリシー情報２０３を読み出す（ステップＳ１００６）。そして、パケット受信部２５０によって、接続相手の劣位ノードであるＶＰＮ装置１００からプレフィックス取得方法要求メッセージを受信する（ステップＳ１００７）。
【０１３３】
受信したプレフィックス取得方法要求メッセージには、ステップＳ１００３で説明したように、接続相手のＶＰＮ装置１００が利用可能なあるいは希望するプレフィックス取得方法が含まれているので、プレフィックス処理部２１２によって、プレフィックス取得方法要求メッセージで指定されたプレフィックス取得方法とＶＰＮポリシー情報２０３の全体設定および接続相手のアドレス（アクセス元アドレス）で識別される接続設定に登録されている自ＶＰＮ装置１００が利用可能なプレフィックス取得方法を比較する（ステップＳ１００８）。
【０１３４】
そして、プレフィックス処理部２１２によって、比較の結果、両者で利用可能なプレフィックス取得方法が存在するか否かを調べる（ステップＳ１００９） 。そして、両者で利用可能なプレフィックス取得方法が存在する場合には（ステップＳ１００９：Ｙｅｓ）、プレフィックス処理部２１２によって両者で利用可能なプレフィックス取得方法を含む応答メッセージを生成し（ステップＳ１０１０）、生成した応答メッセージをパケット送信部２６０によって接続相手の劣位ノードであるＶＰＮ装置１００に送信する（ステップＳ１０１１）。
【０１３５】
一方、ステップ１００９において、両者で利用可能なプレフィックス取得方法が存在しない場合には（ステップＳ１００９：Ｎｏ）、プレフィックス処理部２１２はプレフィックス交渉エラーメッセージを生成し（ステップＳ１０１２）、かかるエラーメッセージをパケット送信部２６０によって接続相手のＶＰＮ装置１００に送信する（ステップＳ１０１３）。
【０１３６】
このようにして、両ＶＰＮ装置１００間でプレフィックス取得方法メッセージ（プレフィックス取得方法要求メッセージおよびその応答メッセージ）を送受信することでプレフィックス取得方法を交渉して決定している。
【０１３７】
（プレフィックス配布方法決定処理）
次に、プレフィックス決定の全体処理におけるステップＳ６１８のプレフィックス配布方法決定処理について説明する。図１１は、プレフィックス配布方法決定処理の手順を示すフローチャートである。
【０１３８】
まず、プレフィックス処理部２１２によって、自ＶＰＮ装置１００が劣位ノードか否かを判断する（ステップＳ１１０１）。そして、劣位ノードである場合には（ステップＳ１１０１：Ｙｅｓ）、ポリシー管理部２２０によってＶＰＮポリシー情報２０３を読み出す（ステップＳ１１０２）。そして、ＶＰＮポリシー情報２０３に登録されている自ＶＰＮ装置１００が利用可能なあるいは希望するプレフィックス配布方法を指定したプレフィックス配布方法要求メッセージを生成し（ステップＳ１１０３）、生成したプレフィックス配布方法要求メッセージをパケット送信部２６０によって接続相手のＶＰＮ装置１００に送信する（ステップＳ１１０４）。そして、パケット受信部２５０によって、接続相手の優位ノードであるＶＰＮ装置１００からプレフィックス配布方法要求メッセージに対する応答メッセージを受信する（ステップＳ１１０５）。このプレフィックス配布方法要求メッセージに対する応答メッセージには、優位ノードのＶＰＮ装置１００におけるプレフィックス配布方法決定処理（後述するステップＳ１１０６〜Ｓ１１１０）で決定されたプレフィックス配布方法が含まれている。
【０１３９】
ステップＳ１１０１に戻り、自ＶＰＮ装置１００が優位ノードである場合には（ステップＳ１１０１：Ｎｏ）、ポリシー管理部２２０によってＶＰＮポリシー情報２０３を読み出す（ステップＳ１１０６）。そして、パケット受信部２５０によって、接続相手の劣位ノードであるＶＰＮ装置１００からプレフィックス配布方法要求メッセージを受信する（ステップＳ１１０７）。
【０１４０】
受信したプレフィックス配布方法要求メッセージには、ステップＳ１１０３で説明したように、接続相手のＶＰＮ装置１００が利用可能なあるいは希望するプレフィックス配布方法が含まれているので、プレフィックス処理部２１２によって、プレフィックス配布方法要求メッセージで指定されたプレフィックス配布方法とＶＰＮポリシー情報２０３の全体設定および接続相手のアドレス（アクセス元アドレス）で識別される接続設定に登録されている自ＶＰＮ装置１００が利用可能なプレフィックス配布方法を比較する（ステップＳ１１０８）。
【０１４１】
そして、プレフィックス処理部２１２によって、比較の結果、両者で利用可能なプレフィックス配布方法が存在するか否かを調べる（ステップＳ１１０９） 。そして、両者で利用可能なプレフィックス配布方法が存在する場合には（ステップＳ１１０９：Ｙｅｓ）、プレフィックス処理部２１２によって両者で利用可能なプレフィックス配布方法を含む応答メッセージを生成し（ステップＳ１１１０）、生成した応答メッセージをパケット送信部２６０によって接続相手の劣位ノードであるＶＰＮ装置１００に送信する（ステップＳ１１１１）。
【０１４２】
一方、ステップ１００９において、両者で利用可能なプレフィックス配布方法が存在しない場合には（ステップＳ１１０９：Ｎｏ）、プレフィックス処理部２１２はプレフィックス交渉エラーメッセージを生成し（ステップＳ１１１２）、かかるエラーメッセージをパケット送信部２６０によって接続相手のＶＰＮ装置１００に送信する（ステップＳ１１１３）。
【０１４３】
このようにして、両ＶＰＮ装置１００間でプレフィックス配布方法メッセージ（プレフィックス配布方法要求メッセージおよびその応答メッセージ）を送受信することでプレフィックス配布方法を交渉して決定している。
【０１４４】
（プレフィックス配布形態決定処理）
次に、プレフィックス決定の全体処理におけるステップＳ６１９のプレフィックス配布形態決定処理について説明する。図１２は、プレフィックス配布形態決定処理の手順を示すフローチャートである。
【０１４５】
まず、プレフィックス処理部２１２によって、自ＶＰＮ装置１００が劣位ノードか否かを判断する（ステップＳ１２０１）。そして、劣位ノードである場合には（ステップＳ１２０１：Ｙｅｓ）、ポリシー管理部２２０によってＶＰＮポリシー情報２０３を読み出す（ステップＳ１２０２）。そして、ＶＰＮポリシー情報２０３に登録されている自ＶＰＮ装置１００が利用可能なあるいは希望するプレフィックス配布形態を指定したプレフィックス配布形態要求メッセージを生成し（ステップＳ１２０３）、生成したプレフィックス配布形態要求メッセージをパケット送信部２６０によって接続相手のＶＰＮ装置１００に送信する（ステップＳ１２０４）。そして、パケット受信部２５０によって、接続相手の優位ノードであるＶＰＮ装置１００からプレフィックス配布形態要求メッセージに対する応答メッセージを受信する（ステップＳ１２０５）。このプレフィックス配布形態要求メッセージに対する応答メッセージには、優位ノードのＶＰＮ装置１００におけるプレフィックス配布形態決定処理（後述するステップＳ１２０６〜Ｓ１２１０）で決定されたプレフィックス配布形態が含まれている。
【０１４６】
ステップＳ１２０１に戻り、自ＶＰＮ装置１００が優位ノードである場合には（ステップＳ１２０１：Ｎｏ）、ポリシー管理部２２０によってＶＰＮポリシー情報２０３を読み出す（ステップＳ１２０６）。そして、パケット受信部２５０によって、接続相手の劣位ノードであるＶＰＮ装置１００からプレフィックス配布形態要求メッセージを受信する（ステップＳ１２０７）。
【０１４７】
受信したプレフィックス配布形態要求メッセージには、ステップＳ１２０３で説明したように、接続相手のＶＰＮ装置１００が利用可能なあるいは希望するプレフィックス配布形態が含まれているので、プレフィックス処理部２１２によって、プレフィックス配布形態要求メッセージで指定されたプレフィックス配布形態とＶＰＮポリシー情報２０３の全体設定および接続相手のアドレス（アクセス元アドレス）で識別される接続設定に登録されている自ＶＰＮ装置１００が利用可能なプレフィックス配布形態を比較する（ステップＳ１２０８）。
【０１４８】
そして、プレフィックス処理部２１２によって、比較の結果、両者で利用可能なプレフィックス配布形態が存在するか否かを調べる（ステップＳ１２０９） 。そして、両者で利用可能なプレフィックス配布形態が存在する場合には（ステップＳ１２０９：Ｙｅｓ）、プレフィックス処理部２１２によって両者で利用可能なプレフィックス配布形態を含む応答メッセージを生成し（ステップＳ１２１０）、生成した応答メッセージをパケット送信部２６０によって接続相手の劣位ノードであるＶＰＮ装置１００に送信する（ステップＳ１２１１）。
【０１４９】
一方、ステップ１００９において、両者で利用可能なプレフィックス配布形態が存在しない場合には（ステップＳ１２０９：Ｎｏ）、プレフィックス処理部２１２はプレフィックス交渉エラーメッセージを生成し（ステップＳ１２１２）、かかるエラーメッセージをパケット送信部２６０によって接続相手のＶＰＮ装置１００に送信する（ステップＳ１２１３）。
【０１５０】
このようにして、両ＶＰＮ装置１００間でプレフィックス配布形態メッセージ（プレフィックス配布形態要求メッセージおよびその応答メッセージ）を送受信することでプレフィックス配布形態を交渉して決定している。
【０１５１】
（プレフィックス取得処理）
次に、プレフィックス決定の全体処理におけるステップＳ６２１のプレフィックス取得処理について説明する。まず、プレフィックス処理部２１２は、決定されたプレフィックス取得方法の内容を判断する。そして、プレフィックス取得方法が「ローカルプール」である場合にはプレフィックス取得処理（ローカルプール）を、プレフィックス取得方法が「ＩＳＰ」である場合にはプレフィックス取得処理（ＩＳＰ）を、プレフィックス取得方法が「Ｕｎｉｑｕｅ  Ｌｏｃａｌ  ＩＰｖ６  Ｕｎｉｃａｓｔ  Ａｄｄｒｅｓｓ」である場合にはプレフィックス取得処理（ＩＰｖ６  ＵＬＡ）を、プレフィックス取得方法が「ランダム」である場合にはプレフィックス取得処理（ランダム）を、それぞれ実行する。以下、各プレフィックス取得処理について説明する。
【０１５２】
［プレフィックス取得処理（ローカルプール）］
図１３は、プレフィックス取得処理（ローカルプール）の手順を示すフローチャートである。まず、決定されたプレフィックス取得方法が「ローカルプール」である場合、プレフィックス処理部２１２は、記憶部２００に記憶されているネットワークプレフィックス情報２０２から先頭のネットワークプレフィックスを選択する（ステップＳ１３０１）。そして、選択されたネットワークプレフィックスがプレフィックス取得方法決定処理で決定された要求を満たすＶＰＮプレフィックスとしての利用可能性を確認し（ステップＳ１３０２）、利用可能か否かを判断する（ステップＳ１３０３）。
【０１５３】
そして、プレフィックス処理部２１２は、選択されたネットワークプレフィックスがプレフィックス取得方法決定処理で決定された要求を満たすＶＰＮプレフィックスとしての利用可能であると判断された場合には（ステップＳ１３０３：Ｙｅｓ）、選択されたネットワークプレフィックスをＶＰＮプレフィックスとして決定する（ステップＳ１３０４）。次いで、プレフィックス処理部２１２によって、ネットワークプレフィックス情報２０２において選択されたネットワークプレフィックスに対して、ＶＰＮ−ＩＤフィールドに接続相手のＶＰＮ装置１００とのＶＰＮ接続のＶＰＮ−ＩＤを、使用中フィールドに「使用中」を、配布方法フィールド、配布形態フィールドにそれぞれプレフィックス配布方法決定処理、プレフィックス配布形態決定処理で決定した内容を登録することにより、ネットワークプレフィックス情報２０２を更新する（ステップＳ１３０５）。
【０１５４】
ステップＳ１３０３において、選択されたネットワークプレフィックスがプレフィックス取得方法決定処理で決定された要求を満たすＶＰＮプレフィックスとしての利用不可能であると判断された場合には（ステップＳ１３０３：Ｎｏ）、プレフィックス処理部２１２は、ネットワークプレフィックス情報２０２に登録されている全てのネットワークプレフィックスについて選択されたか否かを判断する（ステップＳ１３０６）。そして、まだ未選択のものがある場合には（ステップＳ１３０６：Ｎｏ）、プレフィックス処理部２１２は、ネットワークプレフィックス情報２０２の中で次のネットワークプレフィックスを選択し（ステップＳ１３０７）、ステップＳ１３０２からＳ１３０３の処理を繰り返し実行する。
【０１５５】
一方、ステップＳ１３０６において、ネットワークプレフィックス情報２０２の中の全てのネットワークプレフィックスについて選択済みで終了している場合には（ステップＳ１３０６：Ｙｅｓ）、プレフィックス処理部２１２は、ＶＰＮプレフィックスとして決定できるネットワークプレフィックスが存在しないと判断してその旨のエラーメッセージを出力する（ステップＳ１３０８）。
【０１５６】
［プレフィックス取得処理（ＩＳＰ）］
図１４は、プレフィックス取得処理（ＩＳＰ）の手順を示すフローチャートである。決定されたプレフィックス取得方法が「ＩＳＰ」である場合、プレフィックス処理部２１２は、プレフィックス獲得要求（ＰＤ要求）をＰＤサーバ１０５に送信するようにＰＤクライアント部２１４に依頼する（ステップＳ１４０１）。かかる依頼を受けたＰＤクライアント部２１４は、プレフィックス獲得要求（ＰＤ要求）を生成し（ステップＳ１４０２）、生成されたＰＤ要求をインターネット１０７上のＰＤサーバ１０５に対して送信して（ステップＳ１４０３）、ＰＤサーバ１０５からの受信待ちとなる。
【０１５７】
ＰＤサーバ１０５からＰＤ要求に対するＰＤ応答が送信されてくると、ＰＤクライアント部２１４は、パケット受信部２５０を介してＰＤ応答を受信する（ステップＳ１４０４）。なお、ＰＤクライアント部２１４によりＰＤ要求の生成、ＰＤサーバ１０５とのＰＤ要求およびＰＤ応答の送受信は対応するプロトコルに従って行われる。
【０１５８】
次に、ＰＤクライアント部２１４は、受信したＰＤ応答からネットワークプレフィックスを抽出して、このネットワークプレフィックスを記憶部２００のＰＤクライアント情報２１３に登録する（ステップＳ１４０５）。
【０１５９】
次に、プレフィックス処理部２１２は、このＰＤ応答中のネットワークプレフィックスについて要求を満たすＶＰＮプレフィックスとしての利用可能性を判断する（ステップＳ１４０６）。そして、利用可能であると判断した場合には（ステップＳ１４０７：Ｙｅｓ）、プレフィックス処理２１２は、ＰＤ応答中のネットワークプレフィックスをＶＰＮプレフィックスとして決定する（ステップＳ１４０８）。
【０１６０】
次いで、プレフィックス処理部２１２は、決定したＶＰＮプレフィックスのネットワークプレフィックスをネットワークプレフィックスに追加する。そして、当該追加したネットワークプレフィックスに対するＶＰＮ−ＩＤフィールドに接続相手のＶＰＮ装置１００とのＶＰＮ接続のＶＰＮ−ＩＤを、使用中フィールドに「使用中」を、配布方法フィールド、配布形態フィールドにそれぞれプレフィックス配布方法決定処理、プレフィックス配布形態決定処理で決定した内容を登録することにより、決定されたＶＰＮプレフィックスをネットワークプレフィックス情報２０２に登録する（ステップＳ１４０９）。
【０１６１】
ステップＳ１４０７において、ＰＤ応答中のネットワークプレフィックスがＶＰＮプレフィックスとして利用不可能と判断された場合には（ステップＳ１４０７：Ｎｏ）、プレフィックス処理部２１２はその旨のエラーメッセージを出力し（ステップＳ１４１０）、処理を終了する。
【０１６２】
図１５は、実施の形態にかかるルータ機能を有するＶＰＮ装置１００ｃ，１００ｄ間において、プレフィックス取得方法が「ＩＳＰ」と決定された場合におけるプレフィックス決定処理の際に送受信されるメッセージをやりとりを示すシーケンス図である。ここで、ＶＰＮ接続要求をおこなうＶＰＮ装置をＶＰＮ装置Ａ、ＶＰＮ接続待ちのＶＰＮ装置をＶＰＮ装置Ｂとする。
【０１６３】
ＶＰＮ装置ＡによりＶＰＮ装置Ｂに対応するＶＰＮポリシー情報２０３の読み出しからＶＰＮ装置Ｂによるプレフィックス配布形態決定およびプレフィックス配布形態の応答メッセージの送信までの処理および流れ（ステップＳ１５０１〜Ｓ１５１８）については、図７で説明した処理および流れ（ステップＳ７０１〜Ｓ７１８）と同様である。なお、図１５の例では、プレフィックス取得方法が「ＩＳＰ」である他、プレフィックス配布方法として「ＲＡ通知」、プレフィックス配布形態として「個別」が決定されたものとする。
【０１６４】
プレフィックス配布形態決定処理（ステップＳ１５１７）により決定されたプレフィックス配布形態要求に対する応答メッセージを劣位ノードのＶＰＮ装置Ａに送信すると（ステップＳ１５１８）、ＶＰＮ装置Ｂのプレフィックス処理部２１２によって、プレフィックス取得処理を行ってＶＰＮプレフィックスを決定する（ステップＳ１５１９）。この際に、プレフィックス取得形態が「ローカルプール」の場合には、プレフィックス処理部２７１２は、ＰＤクライアント部２１４に対して、ＰＤサーバ１０５に対するプレフィックス獲得要求を行う旨を依頼し、かかる依頼を受けたＰＤクライアント部２７１４は、ＩＳＰ１０２のネットワークのＰＤサーバ２６０１にプレフィックス獲得要求（ＰＤ要求）を送信する（ステップＳ１５２０）。ＰＤサーバ１０５からネットワークプレフィックスそ指定したＰＤ応答が送信されてくると（ステップＳ１５２１）。かかるＰＤ応答を受信してＰＤ応答で指定されたネットワークプレフィックスをＶＰＮプレフィックスとして決定するとともに、ＰＤクライアント情報２１３に格納する。そして、このＶＰＮプレフィックスを指定したプレフィックス通知メッセージをＶＰＮ装置Ａに送信する（ステップＳ１５２２）。以降の処理（ステップＳ１５２３〜Ｓ１５２６）については図７で説明したステップＳ７２１からＳ７２４までの処理と同様に行われる。
【０１６５】
［プレフィックス取得処理（ＩＰｖ６  ＵＬＡ）］
図１６は、プレフィックス取得処理（ＩＰｖ６  ＵＬＡ）の手順を示すフローチャートである。決定されたプレフィックス取得方法が「Ｕｎｉｑｕｅ  Ｌｏｃａｌ  ＩＰｖ６  Ｕｎｉｃａｓｔ  Ａｄｄｒｅｓｓ」である場合、プレフィックス処理部２１２は、ＩＰｖ６で規定されているＵｎｉｑｕｅ  Ｌｏｃａｌ  ＩＰｖ６  Ｕｎｉｃａｓｔ  Ａｄｄｒｅｓｓの規則に従ってＶＰＮプレフィックスとなるアドレスを生成する（ステップＳ１６０１）。
【０１６６】
そして、プレフィックス処理部２１２は、生成したＶＰＮプレフィックスのアドレスをネットワークプレフィックス情報２０２のプレフィックスフィールドに追加する。そして、当該追加したプレフィックスに対するＶＰＮ−ＩＤフィールドに接続相手のＶＰＮ装置１００とのＶＰＮ接続のＶＰＮ−ＩＤを、使用中フィールドに「使用中」を、配布方法フィールド、配布形態フィールドにそれぞれプレフィックス配布方法決定処理、プレフィックス配布形態決定処理で決定した内容を登録することにより、決定されたＶＰＮプレフィックスをネットワークプレフィックス情報２０２に登録する（ステップＳ１６０２）。
【０１６７】
［プレフィックス取得処理（ランダム）］
図１７は、プレフィックス取得処理（ランダム）の手順を示すフローチャートである。決定されたプレフィックス取得方法が「ランダム」である場合、プレフィックス処理部２１２は、まずランダムにネットワークプレフィックスを生成する（ステップＳ１７０１）。
【０１６８】
次いで、プレフィックス処理部２１２は、記憶部２００に記憶されているネットワークプレフィックス情報２０２から先頭のネットワークプレフィックスを選択する（ステップＳ１７０２）。そして、ネットワークプレフィックス情報２０２から選択されたネットワークプレフィックスとステップＳ１６０１でランダムに生成されたネットワークプレフィックスとが重複するか否かを調べる（ステップＳ１７０３）。そして、重複する場合には（ステップＳ１７０３：Ｙｅｓ）、ステップＳ１７０１へ戻り、再度ランダムにネットワークプレフィックスを生成する。
【０１６９】
一方、ステップＳ１７０３において、ネットワークプレフィックス情報２０２から選択されたネットワークプレフィックスとステップＳ１７０１でランダムに生成されたネットワークプレフィックスとが重複しない場合には（ステップＳ１７０３：Ｎｏ）、プレフィックス処理部２１２は、ネットワークプレフィックス情報２０２に登録されている全てのネットワークプレフィックスについて選択されたか否かを判断する（ステップＳ１７０４）。そして、まだ未選択のものがある場合には（ステップＳ１７０４：Ｎｏ）、プレフィックス処理部２１２は、ネットワークプレフィックス情報２０２の中で次のネットワークプレフィックスを選択し（ステップＳ１７０５）、ステップＳ１７０３の処理を繰り返し実行する。
【０１７０】
一方、ステップＳ１７０４において、ネットワークプレフィックス情報２０２の中の全てのネットワークプレフィックスについて選択済みで終了している場合には（ステップＳ１７０４：Ｙｅｓ）、プレフィックス処理部２１２は、ステップＳ１７０２においてネットワークプレフィックスをＶＰＮプレフィックスとして決定する（ステップＳ１７０６）。
【０１７１】
次いで、プレフィックス処理部２１２は、決定したＶＰＮプレフィックスのネットワークプレフィックスをネットワークプレフィックス情報２０２に追加する。そして、当該追加したネットワークプレフィックスに対するＶＰＮ−ＩＤフィールドに接続相手のＶＰＮ装置１００とのＶＰＮ接続のＶＰＮ−ＩＤを、使用中フィールドに「使用中」を、配布方法フィールド、配布形態フィールドにそれぞれプレフィックス配布方法決定処理、プレフィックス配布形態決定処理で決定した内容を登録することにより、決定されたＶＰＮプレフィックスをネットワークプレフィックス情報２０２に登録する（ステップＳ１７０７）。
【０１７２】
以上のようなプレフィックス処理部２１２によるプレフィックス取得方法ごとのプレフィックス取得処理によって、ＶＰＮプレフィックスが決定されることになる。
【０１７３】
（パケットフィルタ設定変更処理）
次に、プレフィックス決定の全体処理におけるステップＳ６２５のパケットフィルタ設定変更処理について説明する。図１８は、ＶＰＮ接続の確立時におこなわれるパケットフィルタ設定変更処理の手順を示すフローチャートである。
【０１７４】
まず、パケットフィルタ部２３１は、プレフィックス配布形態決定処理で決定されたプレフィックス配布形態が「個別」配布か否かを調べる（ステップＳ１８０１）。そして、決定されたプレフィックス配布形態が「個別」配布でない場合、すなわち「一括」配布である場合には（ステップＳ１８０１：Ｎｏ）、「ＶＰＮプレフィックスを除く全ネットワークプレフィックスに対するＲＡがＶＰＮを通過しない」というルールのフィルタリング情報を生成する（ステップＳ１８０２）。
【０１７５】
一方、ステップＳ１８０１において、決定されたプレフィックス配布形態が「個別」配布である場合、（ステップＳ１８０１：Ｙｅｓ）、「全ネットワークプレフィックスに対するＲＡがＶＰＮを通過しない」というルールのフィルタリング情報を生成する（ステップＳ１８０３）。
【０１７６】
次いで、ステップＳ１８０２またはＳ１８０３により生成したフィルタリング情報をパケットフィルタ部２３１の内部に設定し（ステップＳ１８０４）、パケットフィルタ部２３１は、このフィルタリング情報をＶＰＮ接続情報２０３の接続相手のＶＰＮ装置１００とのＶＰＮ接続に対応したＶＰＮ−ＩＤの「フィルタリング情報」フィールドに登録する（ステップＳ１８０５）。
【０１７７】
次に、パケットフィルタ部２３１は、ＶＰＮプレフィックスを通過させない旨の設定内容のフィルタリング依頼情報を、パケット送信部２６０を介してルータ装置１０１に送信する（ステップＳ１８０６）。そして、パケットフィルタ部２３１は、このフィルタリング依頼情報を、ＶＰＮ接続情報２０３の接続相手のＶＰＮ装置１００とのＶＰＮ接続に対応したＶＰＮ−ＩＤの「フィルタリング依頼情報」フィールドに登録する（ステップＳ１８０７）。以上のような処理により、決定されたＶＰＮプレフィックスに基づいたパケットフィルタリングが実行されることになる。
【０１７８】
次に、ＶＰＮ接続の切断時におけるパケットフィルタ設定変更処理について説明する。図１９は、ＶＰＮ接続の切断時におこなわれるパケットフィルタ設定変更処理の手順を示すフローチャートである。
【０１７９】
まず、パケットフィルタ部２３１は、ＶＰＮ接続の確立時におけるパケットフィルタ設定変更処理において、ステップＳ１８０５で設定したルールのフィルタリング情報をＶＰＮ接続情報２０３から取得する（ステップＳ１９０１）。そして、パケットフィルタ部２３１により取得したフィルタリング情報の設定を解除する（ステップＳ１９０２）。
【０１８０】
次に、パケットフィルタ部２３１は、ＶＰＮ接続の確立時におけるパケットフィルタ設定変更処理において、ステップＳ１８０７で設定したルータ装置１０１に対するフィルタリング依頼情報をＶＰＮ接続情報２０３から取得する（ステップＳ１９０３）。そして、取得したフィルタリング依頼情報の設定解除の依頼をルータ装置１０１に対して送信する（ステップＳ１９０４）。このような処理により、ＶＰＮ接続の確立時に変更されたパケットフィルタ設定が解除されることになる。
【０１８１】
（プレフィックス配布処理）
次に、プレフィックス決定の全体処理におけるステップＳ６２５のプレフィックス配布処理について説明する。図２０は、プレフィックス配布処理の手順を示すフローチャートである。まず、ルータ広告処理部２４０は、プレフィックス処理部２１２によるプレフィックス配布方法決定処理により決定されたプレフィックス配布方法が「ＲＡ通知」であるか否かを調べる（ステップＳ２００１）。
【０１８２】
そして、決定されたプレフィックス配布方法が「ＲＡ通知」である場合には（ステップＳ２００１：Ｙｅｓ）、ルータ広告処理部２４０は、ＶＰＮプレフィックス配布用のリンクローカルアドレスを割り当てる設定がさなれているか否かを判断する（ステップＳ２００２）。ＶＰＮプレフィックス配布用のリンクローカルアドレスを割り当てる設定の場合には（ステップＳ２００２：Ｙｅｓ）、ルータ広告処理部２４０は、ＶＰＮプレフィックス配布用のリンクローカルアドレスを生成し（ステップＳ２００３）、生成したリンクローカルアドレスをネットワークインタフェース２７０に割り当てる（ステップＳ２００４）。
【０１８３】
ステップＳ２００２において、ＶＰＮプレフィックス配布用のリンクローカルアドレスを割り当てる設定がさなれていない場合には（ステップＳ２００２：Ｎｏ）、このようなリンクローカルアドレスの生成および割当ては行われない。
【０１８４】
そして、ルータ広告処理部２４０は、ＶＰＮ接続の切断等によるプレフィックス配布の停止要求を受信するまで（ステップＳ２００５：Ｎｏ）、ＶＰＮプレフィックスを指定したＲＡを生成し（ステップＳ２００６）、生成したＲＡを自ＶＰＮ装置１００が管理するネットワーク１０４内に送信する処理（ステップＳ２００７）を繰り返す。これにより、決定されたＶＰＮプレフィックスがネットワーク１０４内に配布されることになる。
【０１８５】
一方、ステップＳ２００５において、ＶＰＮ接続の切断等によるプレフィックス配布の停止要求を受信した場合には（ステップＳ２００５：Ｙｅｓ）、ルータ広告処理部２４０は、ＶＰＮプレフィックス配布用のリンクローカルアドレスが生成されているか否かを判断し（ステップＳ２００８）、生成されている場合には（ステップＳ２００８：Ｙｅｓ）、そのリンクローカルアドレスを削除して（ステップＳ２００９）、処理を終了する。
【０１８６】
ステップＳ２００１に戻り、プレフィックス配布方法決定処理により決定されたプレフィックス配布方法が「ＲＡ通知」でない場合、すなわち「ＲＡ依頼」である場合には（ステップＳ２００１：Ｎｏ）、ルータ広告処理部２４０は、ＶＰＮプレフィックスを指定したＲＡ依頼メッセージを生成する（ステップＳ２０１０）。このＲＡ依頼メッセージには、通知するＶＰＮプレフィックスの他、そのプレフィックス長、プレフィックスの有効期限、通知開始や通知停止または情報更新等の通知状態が指定される。
【０１８７】
そして、ルータ広告処理部２４０は、生成されたＲＡ依頼メッセージをパケット送信部２６０を介して自ＶＰＮ装置１００が管理するネットワーク１０４内のルータ装置１０１に送信する（ステップＳ２０１１）。これにより、ＲＡ依頼メッセージを受信したルータ装置１０１によってＲＡがネットワーク１０４内に送信され、ＶＰＮプレフィックスがネットワーク１０４内に配布されることになる。
【０１８８】
次に、ＶＰＮ装置１００からＲＡ依頼メッセージを受信したルータ装置１０１によるプレフィックス配布処理について説明する。図２１は、ルータ装置１０１によるプレフィックス配布処理の手順を示すフローチャートである。
【０１８９】
ルータ装置１０１は、ＶＰＮ装置１００からＲＡ依頼メッセージを受信すると（ステップＳ２１０１）、ＶＰＮプレフィックス配布用のリンクローカルアドレスを割り当てる設定がさなれているか否かを判断する（ステップＳ２１０２）。ＶＰＮプレフィックス配布用のリンクローカルアドレスを割り当てる設定の場合には（ステップＳ２１０２：Ｙｅｓ）、ルータ装置１０１は、ＶＰＮプレフィックス配布用のリンクローカルアドレスを生成し（ステップＳ２１０３）、生成したリンクローカルアドレスをネットワークインタフェースに割り当てる（ステップＳ２１０４）。
【０１９０】
ステップＳ２１０２において、ＶＰＮプレフィックス配布用のリンクローカルアドレスを割り当てる設定がさなれていない場合には（ステップＳ２１０２：Ｎｏ）、このようなリンクローカルアドレスの生成および割当ては行われない。
【０１９１】
そして、ルータ装置１０１は、ＶＰＮ接続の切断等によるプレフィックス配布の停止要求を受信するまで（ステップＳ２１０５：Ｎｏ）、ＶＰＮプレフィックスを指定したＲＡを生成し（ステップＳ２１０６）、生成したＲＡを自ＶＰＮ装置１００が管理するネットワーク１０４内に送信する処理（ステップＳ２１０７）を繰り返す。これにより、決定されたＶＰＮプレフィックスがネットワーク１０４内に配布されることになる。なお、ＲＡの生成の際に、ＲＡのＲｏｕｔｅｒ  ｌｉｆｅｔｉｍｅフィールドを「０」に設定することにより、デフォルトルータとして解釈されないようにすることが好ましい。
【０１９２】
一方、ステップＳ２１０５において、ＶＰＮ接続の切断等によるプレフィックス配布の停止要求を受信した場合には（ステップＳ２１０５：Ｙｅｓ）、ルータ装置１０１は、ＶＰＮプレフィックス配布用のリンクローカルアドレスが生成されているか否かを判断し（ステップＳ２１０８）、生成されている場合には（ステップＳ２１０８：Ｙｅｓ）、そのリンクローカルアドレスを削除して（ステップＳ２１０９）、処理を終了する。
【０１９３】
図２２は、プレフィックス配布方法が「ＲＡ通知」、プレフィックス配布形態が「個別」と決定された場合におけるパケットフィルタリングおよびＲＡの送信状態を示す説明図である。
【０１９４】
図２２では、ＶＰＮプレフィックスは「3ffe:db8:A000::/64」と決定されており、ＶＰＮプレフィックスは、ＶＰＮ装置１００ａとＶＰＮ装置１００ｂとで個別に各ネットワークにＲＡで配布されている。そして、ＶＰＮ装置１００ａのネットワークとＶＰＮ装置１００ｂのネットワークとの間で、全てのＲＡが遮断されるようにパケットフィルタ設定がなされている。
【０１９５】
図２３は、プレフィックス配布方法が「ＲＡ通知」と「ＲＡ依頼」が混在し、プレフィックス配布形態が「個別」と決定された場合におけるパケットフィルタリングおよびＲＡの送信状態を示す説明図である。図２３は、ＶＰＮ装置１００ａではプレフィックス配布方法が「ＲＡ依頼」、ＶＰＮ装置１００ｂではプレフィックス配布方法が「ＲＡ通知」と決定された例を示している。
【０１９６】
図２３では、ＶＰＮプレフィックスは「3ffe:db8:A000::/64」と決定されており、ＶＰＮプレフィックスは、ＶＰＮ装置１００ａのネットワークのルータ装置１０１ａとＶＰＮ装置１００ｂとで個別に各ネットワークにＲＡで配布されている。そして、ＶＰＮ装置１００ａのネットワークとＶＰＮ装置１００ｂのネットワークとの間で全てのＲＡが遮断されるようにパケットフィルタ設定がなされている。
【０１９７】
図２４は、プレフィックス配布方法が「ＲＡ通知」、プレフィックス配布形態が「一括」と決定された場合におけるパケットフィルタリングおよびＲＡの送信状態を示す説明図である。
【０１９８】
図２４では、ＶＰＮプレフィックスは「3ffe:db8:A000::/64」と決定されており、ＲＡ送信ノードはＶＰＮ装置１００ｂとなっている。そして、ＶＰＮプレフィックスは、ＲＡ送信ノードであるＶＰＮ装置１００ｂから一括してＶＰＮ接続された２つのネットワーク内にＲＡで配布されている。そして、ＶＰＮ装置１００ａのネットワークとＶＰＮ装置１００ｂのネットワークとの間で、ＶＰＮプレフィックス「3ffe:db8:A000::/64」を除く全てのＲＡが遮断されるようにパケットフィルタ設定がなされている。
【０１９９】
図２５は、プレフィックス配布方法が「ＲＡ依頼」、プレフィックス配布形態が「一括」と決定された場合におけるパケットフィルタリングおよびＲＡの送信状態を示す説明図である。
【０２００】
図２５では、ＶＰＮプレフィックスは「3ffe:db8:A000::/64」と決定されており、ＲＡ送信ノードはＶＰＮ装置１００ｂとなっている。そして、ＶＰＮプレフィックスは、ＲＡ送信ノードであるＶＰＮ装置１００ｂからの依頼によってルータ装置１０１ｂから一括してＶＰＮ接続された２つのネットワーク内にＲＡで配布されている。そして、ＶＰＮ装置１００ａのネットワークとＶＰＮ装置１００ｂのネットワークとの間で、ＶＰＮプレフィックス「3ffe:db8:A000::/64」を除く全てのＲＡが遮断されるようにパケットフィルタ設定がなされている。
【０２０１】
また、上述の図２２〜２５では、ルータ装置１０１ａのネットワークにおいてＶＰＮ以外のトラフィックに対するネットワークプレフィックスは「3ffe:db8:2000::/64」、ルータ装置１０１ｂのネットワークにおいてＶＰＮ以外のトラフィックに対するネットワークプレフィックスは「3ffe:db8:1000::/64」がそれぞれ割り当てられており、ＶＰＮによる通信に使用されるＶＰＮプレフィックス「3ffe:db8:A000::/64」は、かかるネットワークプレフィックスと区別されているので、ＶＰＮ接続されたネットワーク間において、ＶＰＮトラフィックとＶＰＮ以外のトラフィックとをネットワークプレフィックスに基づいて分離することができるようになっている。
【０２０２】
なお、いずれもＶＰＮ装置１００ａ，１００ｂまたはルータ装置１０１ａ，１０１ｂは、単一のＶＰＮネットワークプレフィックスをＲＡでネットワーク内に配布しているが、図２６に示すように、２つのＶＰＮプレフィックスをＶＰＮ装置間で決定して、配布するように構成してもよい。
【０２０３】
このように本実施の形態にかかるＶＰＮ装置１００では、ＶＰＮによる通信に使用するネットワークプレフィックスであるＶＰＮプレフィックスを、その取得方法、配布方法および配布形態を含めてをＶＰＮ接続するＶＰＮ装置間で交渉して決定し、ＶＰＮプレフィックスに基づいてパケットフィルタ設定の変更をして、ＶＰＮプレフィックスのＶＰＮ接続された各ネットワーク内に配布しているので、ＶＰＮ接続されたネットワーク間において、ＶＰＮトラフィックとＶＰＮ以外のトラフィックとをＶＰＮプレフィックスに基づいて分離することができる。
【０２０４】
（実施の形態１の変形例）
実施の形態１にかかるＶＰＮ装置２６００では、プレフィックス取得方法が「ＩＳＰ」である場合に、ＰＤサーバ２６０１からネットワークプレフィックスを獲得しているが、この他、インターネット１０７上の上述したＶＰＮ仲介サーバ１０６にプレフィックス獲得要求を送信して、その応答メッセージで指定されたネットワークプレフィックスからＶＰＮプレフィックスを決定するように構成することもできる。
【０２０５】
（実施の形態２）
実施の形態１にかかるＶＰＮ装置１００は、プレフィックス取得方法が「ローカルプール」に決定された場合に、ＶＰＮ装置１００内部で管理するネットワークプレフィックス情報から選択してＶＰＮプレフィックスを決定していたが、この実施の形態２にかかるＶＰＮ装置１００では、ＰＤ要求を定期的に実行して、実行の都度ＰＤ応答から取得したネットワークプレフィックスをＰＤクライアント情報２７１３に保存しておき、プレフィックス取得方法が「ローカルプール」に決定された場合に、ＰＤクライアント情報２１３からネットワークプレフィックスを取得してＶＰＮプレフィックスとして決定するものである。
【０２０６】
本実施の形態のネットワークシステムのネットワーク構成は、実施の形態１のネットワーク構成と同様である。
【０２０７】
本実施の形態で使用するＶＰＮも、実施の形態１と同様に、レイヤー２ＶＰＮであり、また、複数のネットワーク１０４ａ〜１０４ｄを接続するサイト・ツー・サイトＶＰＮの形態となっている。
【０２０８】
図２７は、ＶＰＮ装置２７００の機能的構成を示すブロック図である。ＶＰＮ装置２７００は、図２７に示すように、ＰＤクライアント部２７１４と、ＶＰＮ処理部２７１０と、ポリシー管理部２２０と、パケット転送部２３０と、ルータ広告処理部２４０と、パケット受信部２５０と、パケット送信部２６０と、記憶部２００と、複数のネットワークインタフェース２７０とを主に備えた構成となっている。
【０２０９】
ＶＰＮ処理部２７１０は、記憶部２００に保存されているＶＰＮ接続情報２０１の操作や、ＶＰＮの確立および切断などのＶＰＮプロトコルに従った処理を行う。ＶＰＮ処理部２７１０は、ＶＰＮプロトコル依存処理部２１１とプレフィックス処理部２７１２とを備えている。ＶＰＮプロトコル依存処理部２１１の機能は、実施の形態１のＶＰＮ装置１００と同様である。
【０２１０】
プレフィックス処理部２７１２は、実施の形態１と同様に、ＶＰＮ接続の確立の処理時に、ＶＰＮプロトコル依存処理部２１１により抽出したＶＰＮプレフィックスメッセージの接続相手のＶＰＮ装置１００との送受信による交渉により、ＶＰＮプレフィックスを決定する処理を行う。また、本実施の形態では、プレフィックス取得処理において、プレフィックス取得方法が「ローカルプール」である場合に、記憶部２００に記憶されたＰＤクライアント情報２１３からネットワークプレフィックスの取得を行う。
【０２１１】
ＰＤクライアント部２７１４は、一定時間ごとに定期的にＩＳＰ１０２のネットワーク側に存在するＰＤサーバ１０５に対してネットワークプレフィックスの獲得要求を送信して、ＰＤサーバ１０５から受信したネットワークプレフィックスを記憶部２００のＰＤクライアント情報２１３に登録する処理を行う。ＰＤクライアント部２７１４は本発明における識別情報獲得手段に相当する。
【０２１２】
ポリシー管理部２２０と、パケット転送部２３０と、ルータ広告処理部２４０と、パケット受信部２５０と、パケット送信部２６０と、記憶部２００と、複数のネットワークインタフェース２７０については実施の形態１と同様の構成および機能を有している。
【０２１３】
図２８は、実施の形態２のルータ機能を有するＶＰＮ装置２７００間においてプレフィックス決定処理の際に送受信されるメッセージをやりとりを示すシーケンス図である。ここで、ＶＰＮ接続要求をおこなうＶＰＮ装置をＶＰＮ装置Ａ、ＶＰＮ接続待ちのＶＰＮ装置をＶＰＮ装置Ｂとする。
【０２１４】
ＶＰＮ装置ＢのＰＤクライアント部２７１４は、図２８に示すように、一定時間ごとに定期的にＰＤサーバ２６０１にＰＤ要求を送信してＰＤ応答を受信している。そして、ＰＤクライアント部２７１４は、ＰＤ応答中のネットワークプレフィックスをその都度ＰＤクライアント情報２１３に保存している。
【０２１５】
ＶＰＮ装置ＡによりＶＰＮ装置Ｂに対応するＶＰＮポリシー情報２０３の読み出しからＶＰＮ装置Ｂによるプレフィックス配布形態決定およびプレフィックス配布形態の応答メッセージの送信までの処理および流れ（ステップＳ２８０１〜Ｓ２８１８）については、実施の形態１の図７において説明した処理および流れ（ステップＳ７０１〜Ｓ７１８）と同様である。なお、図２８の例では、プレフィックス取得方法として「ローカルプール」、プレフィックス配布方法として「ＲＡ通知」、プレフィックス配布形態として「個別」が決定されたものとする。
【０２１６】
プレフィックス配布形態決定処理（ステップＳ２８１７）により決定されたプレフィックス配布形態要求に対する応答メッセージを劣位ノードのＶＰＮ装置Ａに送信すると（ステップＳ２８１８）、ＶＰＮ装置Ｂのプレフィックス処理部２７１２によって、プレフィックス取得処理を行ってＶＰＮプレフィックスを決定する（ステップＳ２８１９）。この際に、プレフィックス処理部２７１２は、ＰＤクライアント情報２１３からネットワークプレフィックスを検索して取得し、ＶＰＮプレフィックスとして決定する。
【０２１７】
そして、このＶＰＮプレフィックスを指定したプレフィックス通知メッセージをＶＰＮ装置Ａに送信する（ステップＳ２８２０）。以降の処理（ステップＳ２８２１〜Ｓ２８２４）については実施の形態１の図７におけるステップＳ７２１からＳ７２４までの処理と同様に行われる。
【０２１８】
次に、プレフィックス取得方法がローカルプールの場合におけるステップＳ２８１９のプレフィックス取得処理について説明する。図２９は、実施の形態２にかかるＶＰＮ装置２７００によるプレフィックス取得処理（ローカルプール）の手順を示すフローチャートである。
【０２１９】
プレフィクス取得方法が「ローカルプール」ある場合、プレフィックス処理部２７１２は、ＰＤクライアント情報２１３からＰＤクライアント部２７１４が定期的にＰＤサーバ２６０１から取得したネットワークプレフィックスを検索する（ステップＳ２９０１）。
【０２２０】
そして、プレフィックス処理部２７１２は、ネットワークプレフィックスがＰＤクライアント情報２１３に存在するか否かを調べる（ステップＳ２９０２）。そして、存在する場合には（ステップＳ２９０２：Ｙｅｓ）、プレフィックス処理部２７１２は、このＰＤ応答中のネットワークプレフィックスについて要求を満たすＶＰＮプレフィックスとしての利用可能性を確認する（ステップＳ２９０３）。そして、利用可能であると判断した場合には（ステップＳ２９０４：Ｙｅｓ）、プレフィックス処理２７１２は、検索されたネットワークプレフィックスをＶＰＮプレフィックスとして決定する（ステップＳ２９０５）。
【０２２１】
次いで、プレフィックス処理部２７１２は、決定したＶＰＮプレフィックスのネットワークプレフィックスをネットワークプレフィックスに追加する。そして、当該追加したネットワークプレフィックスに対するＶＰＮ−ＩＤフィールドに接続相手のＶＰＮ装置２７００とのＶＰＮ接続のＶＰＮ−ＩＤを、使用中フィールドに「使用中」を、配布方法フィールド、配布形態フィールドにそれぞれプレフィックス配布方法決定処理、プレフィックス配布形態決定処理で決定した内容を登録することにより、決定されたＶＰＮプレフィックスをネットワークプレフィックス情報２０２に登録する（ステップＳ２９０６）。
【０２２２】
ステップＳ２９０２においてＰＤクライアント情報２１３にネットワークプレフィックスが存在しない場合（ステップＳ２９０２：Ｎｏ）、およびステップＳ３１０４において、検索されたネットワークプレフィックスがＶＰＮプレフィックスとして利用不可能と判断された場合には（ステップＳ２９０４：Ｎｏ）、プレフィックス処理部２７１２はそれぞれその旨のエラーメッセージを出力し（ステップＳ２９０７）、処理を終了する。
【０２２３】
このように実施の形態２にかかるＶＰＮ装置２７００では、ＰＤサーバ１０５からネットワークプレフィックスを定期的に取得してＰＤクライアント情報２１３に保存しておき、プレフィックス取得処理時にＰＤクライアント情報２１３を検索して存在するネットワークプレフィックスからＶＰＮプレフィックスを決定しているので、ＶＰＮプレフィックスを適切に決定することができ、ＶＰＮ接続されたネットワーク間において、ＶＰＮトラフィックとＶＰＮ以外のトラフィックとをＶＰＮプレフィックスに基づいて分離することができる。
【０２２４】
（実施の形態３）
実施の形態１および２にかかるＶＰＮ装置は、ＶＰＮ接続を行うＶＰＮ装置間で優劣決定メッセージの送受信による交渉により優劣決定処理を行っていたが、この実施の形態３にかかるＶＰＮ装置は、優劣決定メッセージの送受信による交渉を行わずに優劣決定を行うものである。
【０２２５】
実施の形態３にかかるネットワークシステムおよびＶＰＮ装置の構成は実施の形態１と同様であるため説明を省略する。
【０２２６】
実施の形態３にかかるＶＰＮ装置では、プレフィックス処理部２１２が優劣決定メッセージの送受信による交渉を行わずに優劣決定を行う点が実施の形態１と異なっている。
【０２２７】
具体的には、本実施の形態のプレフィックス処理部２１２は、予めＶＰＮ通信において使用したいネットワークプレフィックスとプレフィックス長からなるプレフィックス要求メッセージを含めたＶＰＮ接続要求メッセージを接続相手のＶＰＮ装置１００にパケット送信部２６０を介して送信する。一方、接続相手のＶＰＮ装置１００がＶＰＮ通信において使用したいネットワークプレフィックスとプレフィックス長からなるプレフィックス要求メッセージを含む応答メッセージをパケット受信部２５０を介して受信しておく。そして、プレフィックス処理部２１２は、自己のネットワークプレフィックスと接続相手のネットワークプレフィックスの大小により優劣を決定する処理を行う。すなわち、ネットワークプレフィックスが大きい方のＶＰＮ装置１００を優位ノード、小さい方のＶＰＮ装置１００を劣位ノードに決定する。
【０２２８】
ここで、プレフィックス要求メッセージは、ＶＰＮ通信において利用を希望するプレフィックスとプレフィックス長を要求するメッセージであり、ＶＰＮ装置が希望するプレフィックスとＶＰＮ装置が希望するプレフィックス長を交換するために使用される。
【０２２９】
図３０は、実施の形態３にかかるルータ機能のないＶＰＮ装置１００ａ，１００ｂ間においてプレフィックス決定処理の際に送受信されるメッセージをやりとりを示すシーケンス図である。ここで、ＶＰＮ接続要求をおこなうＶＰＮ装置をＶＰＮ装置Ａ、ＶＰＮ接続要求待ち側のＶＰＮ装置をＶＰＮ装置Ｂとする。ＶＰＮ装置Ａのネットワーク内のルータ装置をルータ装置Ａ、ＶＰＮ装置Ｂのネットワーク内のルータ装置をルータ装置Ｂとする。
【０２３０】
接続要求側のＶＰＮ装置Ａは、ポリシー管理部２２０によって接続相手であるＶＰＮ装置Ｂに対応するＶＰＮポリシー情報２０３（ＶＰＮ装置Ｂの接続設定）を読み出す（ステップＳ３００１）。そして、ＶＰＮプロトコル依存処理部２１１によって、プレフィックス要求メッセージを含むＶＰＮ接続要求メッセージをＶＰＮ装置Ｂに送信する（ステップＳ３００２）。ＶＰＮ装置Ｂでは、ＶＰＮ接続要求メッセージを受信すると、ポリシー管理部２２０によって、接続相手であるＶＰＮ装置Ａに対応するＶＰＮポリシー情報２０３（ＶＰＮ装置Ａの接続設定）を読み出す（ステップＳ３００３）。そして、ＶＰＮプロトコル依存処理部２１１によってＶＰＮプロトコルに従った接続処理を行って、ＶＰＮ装置Ａにプレフィックス要求メッセージを含むＶＰＮ接続応答メッセージを送信する（ステップＳ３００４）。
【０２３１】
ＶＰＮ装置Ａでは、プレフィックス処理部２１２によりプレフィックス交渉メッセージをＶＰＮ装置Ｂに送信し（ステップＳ３００５）、これを受信したＶＰＮ装置Ｂではプレフィックス処理部２１２によりプレフィックス交渉が可能か否かを判断して、その応答としてプレフィックス交渉応答メッセージをＶＰＮ装置Ａに送信する（ステップＳ３００６）。
【０２３２】
次に、ＶＰＮ装置ＡおよびＶＰＮ装置Ｂでは、プレフィックス要求メッセージで取得した接続相手の利用を希望するネットワークプレフィックスと自己の利用を希望するネットワークプレフィックスを比較してその大小の順序付けにより優劣決定を行う（ステップＳ３００７）。すなわち、優劣決定メッセージの送受信による交渉は行わず、ネットワークプレフィックスの大きいＶＰＮ装置を優位ノードとし、小さいＶＰＮ装置を劣位ノードと決定する。図３０の例では、優位ノードがＶＰＮ装置Ｂ、劣位ノードがＶＰＮ装置Ａとして決定されたものとする。これ以降の処理（ステップＳ３００８〜Ｓ３０２６）については、実施の形態１で説明した図８の例における処理（ステップＳ８１０〜Ｓ８２８）と同様である。
【０２３３】
図３１は、実施の形態３にかかるＶＰＮ装置１００によるプレフィックス決定の全体処理の中で優劣決定からプレフィックス配布処理までの手順を示すフローチャートである。なお、プレフィックス決定の全体処理において、初期設定およびポリシー設定からプレフィックス交渉の可否判断までの処理については、実施の形態１で説明した図６−１における処理（ステップＳ６０１〜Ｓ６１５）と同様に行われる。ただし、ＶＰＮ接続要求メッセージおよびＶＰＮ接続要求応答メッセージは、上述したプレフィックス要求メッセージを含めて送信される。
【０２３４】
ＶＰＮ接続要求送信側のＶＰＮ装置１００においてステップＳ６０９でプレフィックス交渉可能であると判断された場合（ステップＳ６０９：Ｙｅｓ）、およびＶＰＮ接続要求待ち受け側のＶＰＮ装置１００においてステップＳ６１５でプレフィックス交渉が可能であると判断された場合（ステップＳ６１５：Ｙｅｓ）、ＶＰＮプレフィックスを決定する処理を行う優位ノードと決定されたＶＰＮプレフィックスの通知を受ける劣位ノードを決定する優劣決定が行われる（ステップＳ３１０１）。具体的には、上述したように、プレフィックス要求メッセージで取得した接続相手の利用を希望するネットワークプレフィックスと自己の利用を希望するネットワークプレフィックスを比較してその大小の順序付けにより優劣決定を行う。すなわち、優劣決定メッセージの送受信による交渉は行わず、ネットワークプレフィックスの大きいＶＰＮ装置を優位ノードとし、小さいＶＰＮ装置を劣位ノードと決定する。
【０２３５】
これ以降の処理（ステップＳ３１０２〜Ｓ３１１１）については、実施の形態１で説明した図６−２における処理（ステップＳ６１６〜Ｓ６２６）と同様に行われる。
【０２３６】
このように実施の形態３にかかるＶＰＮ装置１００では、事前に取得した接続相手が利用を希望するネットワークプレフィックスと自己が希望するネットワークプレフィックスの順序づけにより優劣決定を行い、優劣決定メッセージの送受信による交渉を行わないので、プレフィックス決定処理を効率的に行うことができる。
【０２３７】
なお、本実施の形態では、ＶＰＮ接続要求とＶＰＮ接続要求応答メッセージに含まれるプレフィックス要求メッセージにより、接続相手が希望するネットワークプレフィックスとプレフィックス長を取得しているが、さらに自己のＶＰＮ装置１００のプレフィックス配布方法、プレフィックス配布形態をＶＰＮポリシー情報２０３から取得するとともに、接続相手のＶＰＮ装置１００が希望するプレフィックス配布方法、プレフィックス配布形態を上記メッセージで取得しておき、ネットワークプレフィックスの大小により優位ノードとなったＶＰＮ装置１００のプレフィックス配布方法、プレフィックス配布形態を採用するようにして、プレフィックス配布方法決定およびプレフィックス配布形態決定の交渉を省略するように構成してもよい。この場合には、プレフィックス決定処理をより一層効率的に行うことができる。
【０２３８】
（実施の形態４）
実施の形態１〜３では、プレフィックス決定の交渉が可能なＶＰＮ装置１００同士を接続することを前提にしていたが、接続相手のＶＰＮ装置がプレフィックス決定の交渉の機能を有さない場合には、ＶＰＮ接続要求を送信すると、エラーの応答が受信されてしまい、プレフィックス決定を行うことができない。
【０２３９】
そこで、この実施の形態４にかかるＶＰＮ装置１００では、接続相手のＶＰＮ装置がプレフィックス決定の交渉の機能を有さない場合においてもプレフィックス決定を可能とするものである。
【０２４０】
実施の形態４にかかるネットワークシステムおよびＶＰＮ装置の構成は実施の形態１と同様であるため説明を省略する。
【０２４１】
実施の形態４にかかるＶＰＮ装置では、プレフィックス処理部２１２が接続相手のＶＰＮ装置にプレフィックス交渉メッセージを含むＶＰＮ接続要求メッセージを送信して、エラーの応答を受信した場合に、自己のＶＰＮポリシー情報２０３の全体設定から自己のプレフィックス取得方法、プレフィックス配布方法およびプレフィックス配布形態を決定してプレフィックスの取得および配布の処理を行っている点が実施の形態１のプレフィックス処理部と異なっている。なお、本実施の形態におけるプレフィックス処理部２１２には、接続相手のＶＰＮ装置１００がプレフィックス決定の交渉の機能を有している場合におけるプレフィックス決定処理は、実施の形態１のプレフィックス処理部と同様に含まれている。
【０２４２】
図３２は、実施の形態４にかかるルータ機能のないＶＰＮ装置１００ａ，１００ｂ間においてプレフィックス決定処理の際に送受信されるメッセージをやりとりを示すシーケンス図である。ここで、ＶＰＮ接続要求をおこなうＶＰＮ装置をＶＰＮ装置Ａ、ＶＰＮ接続要求待ち側でプレフィックス決定の交渉機能を有さないＶＰＮ装置をＶＰＮ装置Ｂとする。ＶＰＮ装置Ａのネットワーク内のルータ装置をルータ装置Ａ、ＶＰＮ装置Ｂのネットワーク内のルータ装置をルータ装置Ｂとする。
【０２４３】
接続要求側のＶＰＮ装置Ａは、ポリシー管理部２２０によって接続相手であるＶＰＮ装置Ｂに対応するＶＰＮポリシー情報２０３（ＶＰＮポリシー情報２０３の接続設定におけるＶＰＮ装置Ｂのアクセス元アドレスで識別される一連のエントリ）を読み出す（ステップＳ３２０１）。そして、ＶＰＮプロトコル依存処理部２１１によって、プレフィックス交渉メッセージを含むＶＰＮ接続要求メッセージをＶＰＮ装置Ｂに送信する（ステップＳ３２０２）。ＶＰＮ装置Ｂではプレフィックス決定の交渉機能を有していないので、プレフィックス交渉メッセージを含むＶＰＮ接続要求メッセージを受信してもプレフィックス交渉メッセージを解釈することができず、このため応答メッセージとしてエラーをＶＰＮ装置Ａに送信する（ステップＳ３２０３）。
【０２４４】
エラーの応答メッセージを受信したＶＰＮ装置Ａでは、ＶＰＮポリシー情報２０３の全体設定から自己のプレフィックス取得方法、プレフィックス配布方法およびプレフィックス配布形態を取得して取得した各内容でプレフィックス取得方法、プレフィックス配布方法およびプレフィックス配布形態を決定する（ステップＳ３２０４）。
【０２４５】
次に、ＶＰＮ装置Ａではプレフィックス取得処理を行って（ステップＳ３２０５）、通常のＶＰＮ接続要求メッセージをＶＰＮ装置Ｂに送信する（ステップＳ３２０６）。ここで、通常のＶＰＮ接続要求メッセージは、ステップＳ３２０２で送信するＶＰＮ接続要求メッセージと異なり、ＶＰＮプロトコルに従ってプレフィックス交渉メッセージを含まないメッセージである。
【０２４６】
ＶＰＮ接続要求メッセージを受信したＶＰＮ装置Ｂは、ＶＰＮプロトコルに従ってＶＰＮ接続処理を行い、ＶＰＮ接続要求応答メッセージをＶＰＮ装置Ａに送信する（ステップＳ３２０７）。
【０２４７】
ＶＰＮ接続要求応答メッセージを受信したＶＰＮ装置Ａでは、実施の形態１と同様に、パケットフィルタ設定変更処理（ステップＳ３２０８）、ルータ装置Ａへのフィルタリング依頼情報の送信（ステップＳ３２０９）およびＲＡのネットワーク１０４内への送信によるＶＰＮプレフィックスの配布を行う（ステップＳ３２１０）。なお、ステップ３４０３において、プレフィックス決定の交渉機能を有さないＶＰＮ装置Ｂは、プレフィックス交渉メッセージを含むＶＰＮ接続要求メッセージを受信した場合エラーをＶＰＮ装置Ａに送信しているが、ＶＰＮ装置によっては、プレフィックス交渉メッセージを含むＶＰＮ接続要求メッセージを無視して、エラーを返さずに処理を続行する場合も考えられる。このようなＶＰＮ装置Ｂの場合には、プレフィックス交渉メッセージを含まない通常の応答メッセージを送信してくることが考えられる。このため、ＶＰＮ装置Ａは、ＶＰＮ装置Ｂでプレフィックス交渉メッセージを含むＶＰＮ接続要求メッセージが無視されて、ＶＰＮ装置Ｂから通常の応答メッセージが返ってきた場合でもステップＳ３２０３のようなエラーを受信した場合と同様にステップＳ３４０４以降の処理を実行するようになっている。
【０２４８】
図３３−１、図３３−２は、実施の形態４にかかるＶＰＮ装置１００によるプレフィックス決定の全体処理の手順を示すフローチャートである。なお、本実施の形態のＶＰＮ装置１００では、ＶＰＮ接続待ち受け側の処理は実施の形態１と同様であるので、ＶＰＮ接続要求側の処理についてのみ説明する。
【０２４９】
ＶＰＮ装置１００は、ＶＰＮプロトコル依存処理部２１１による初期設定とポリシー管理部２２０によるポリシー設定を行う（ステップＳ３３０１）。そして、利用者によってＶＰＮ接続操作がなされたか否かを判断し（ステップＳ３３０２）、ＶＰＮ接続操作がなされた場合には（ステップＳ３３０２：Ｙｅｓ）、ＶＰＮ接続確立の処理におけるＶＰＮ接続要求側の処理を開始する。すなわち、ポリシー管理部２２０によって接続相手に対応するＶＰＮポリシー情報２０３（ＶＰＮポリシー情報２０３における接続相手のアクセス元アドレスの接続設定）を読み出す（ステップＳ３３０３）。そして、プレフィックス処理部２１２によってプレフィックス交渉メッセージを含むＶＰＮ接続要求メッセージを生成し（ステップＳ３３０４）、パケット送信部２６０によって接続相手のＶＰＮ装置１００にＶＰＮ接続要求メッセージを送信する（ステップＳ３３０５）。
【０２５０】
その後、接続相手のＶＰＮ装置１００からパケット受信部２５０によってＶＰＮ接続要求メッセージに対するＶＰＮ接続要求応答メッセージを受信すると（ステップＳ３３０６）、プレフィックス処理部２１２によって、ＶＰＮ接続要求応答メッセージがエラーか否かを調べる（ステップＳ３３０７）。なお、上述したように、プレフィックス交渉メッセージを含むＶＰＮ接続要求メッセージが接続相手で無視されて、ＶＰＮ接続要求応答メッセージがプレフィックス交渉メッセージを含まない通常の応答メッセージである場合も考えられるため、本実施の形態のＶＰＮ装置１００では、ＶＰＮ接続要求応答メッセージがエラーであるかを判断する他、ＶＰＮ接続要求応答メッセージがプレフィックス交渉メッセージを含まない通常の応答メッセージであるか否かを判断している。
【０２５１】
そして、ＶＰＮ接続要求応答メッセージがエラーではない場合（およびプレフィックス交渉メッセージを含まない通常の応答メッセージでない場合）には（ステップＳ３３０７：Ｎｏ）、ステップＳ３３１７へ進み、プレフィックス処理部２１２によって優劣決定処理を行う（ステップＳ３３１７）。これ以降のプレフィックス取得方法決定処理、プレフィックス配布方法決定処理、プレフィックス配布形態決定処理、プレフィックス取得処理、パケットフィルタ設定の変更処理およびネットワーク内へのプレフィックス配布処理（ステップＳ３３１８〜Ｓ３３２７）については実施の形態１のＶＰＮ装置１００における図６−２の処理（ステップＳ６１７〜Ｓ６２６）と同様に行われる。
【０２５２】
ステップＳ３３０７において、ＶＰＮ接続要求応答メッセージがエラーである場合（あるいは、プレフィックス交渉メッセージを含まない通常の応答メッセージである場合）には（ステップＳ３３０７：Ｙｅｓ）、ポリシー管理部２２０によってＶＰＮポリシー情報２０３の全体設定から自己のプレフィックス取得方法、プレフィックス配布方法およびプレフィックス配布形態を取得して、プレフィックス処理部２１２によって、取得した各内容でプレフィックス取得方法、プレフィックス配布方法およびプレフィックス配布形態を決定する（ステップＳ３３０８）。
【０２５３】
そして、プレフィックス処理部２１２によってプレフィックス取得処理を行う（ステップＳ３３０９）。なお、プレフィックス取得処理の詳細な処理については実施の形態１のＶＰＮ装置１００と同様に行われる。
【０２５４】
次いで、ＶＰＮプロトコル依存処理部２１１によってプレフィックス交渉メッセージ等のプレフィックスメッセージを含まないＶＰＮプロトコルに従った通常のＶＰＮ接続要求メッセージを送信し（ステップＳ３３１０）、応答受信待ちとなる。
【０２５５】
そして、ＶＰＮ接続要求メッセージに対するＶＰＮ接続要求応答メッセージをパケット受信部２５０によって受信すると（ステップＳ３３１１）、パケットフィルタ設定の変更処理（ステップＳ３３２６）およびネットワーク内へのプレフィックス配布処理（ステップＳ３３２７）を行う。その後、終了要求受信待ちとなるが、これ以降の処理（ステップＳ３３２９〜Ｓ３３３１）については実施の形態１のＶＰＮ装置１００と同様に行われる。なお、パケットフィルタ設定の変更処理およびネットワーク内へのプレフィックス配布処理の詳細な処理については実施の形態１のＶＰＮ装置１００と同様に行われる。
【０２５６】
このように実施の形態４にかかるＶＰＮ装置１００では、接続相手のＶＰＮ装置にプレフィックス交渉メッセージを含むＶＰＮ接続要求メッセージを送信して、エラーの応答を受信した場合に、自己のＶＰＮポリシー情報２０３の全体設定から自己のプレフィックス取得方法、プレフィックス配布方法およびプレフィックス配布形態を決定してプレフィックスの取得および配布の処理を行っているので、接続相手のＶＰＮ装置がプレフィックス決定の交渉の機能を有さない場合においてもプレフィックス決定を可能とし、ＶＰＮ接続されたネットワーク間において、ＶＰＮトラフィックとＶＰＮ以外のトラフィックとをＶＰＮプレフィックスに基づいて分離することができる。
【０２５７】
実施の形態１〜４のＶＰＮ装置は、ＣＰＵなどの制御装置と、ＲＯＭ（Read Only Memory）やＲＡＭなどの記憶装置等を主なハードウェア構成として備えたネットワーク機器である。
【０２５８】
また、実施の形態１〜４のＶＰＮ装置で実行される通信プログラムは、ＲＯＭ等に予め組み込まれて提供される。
【０２５９】
なお、実施の形態１〜４のＶＰＮ装置として、ＣＰＵなどの制御装置と、ＲＯＭ（Read Only Memory）やＲＡＭなどの記憶装置と、ＨＤＤ、ＣＤドライブ装置などの外部記憶装置と、ディスプレイ装置などの表示装置と、キーボードやマウスなどの入力装置をハードウェアとして備えた通常のコンピュータを利用した構成とすることもできる。
【０２６０】
この場合には、実施の形態１〜４のＶＰＮ装置で実行される通信プログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ−ＲＯＭ、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）等のコンピュータで読み取り可能な記録媒体に記録されて提供するように構成することができる。
【０２６１】
また、実施の形態１〜４のＶＰＮ装置で実行される通信プログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成しても良い。また、実施の形態１〜４のＶＰＮ装置で実行される通信プログラムをインターネット等のネットワーク経由で提供または配布するように構成しても良い。
【０２６２】
実施の形態１〜４のＶＰＮ装置で実行される通信プログラムは、上述した各部（ＶＰＮ処理部２１０と、ポリシー管理部２２０と、パケット転送部２３０と、ルータ広告処理部２４０と、パケット受信部２５０と、パケット送信部２６０、ＰＤクライアント部１７１４）を含むモジュール構成となっており、実際のハードウェアとしてはＣＰＵ（プロセッサ）が上記記憶媒体から通信プログラムを読み出して実行することにより上記各部が主記憶装置上にロードされ、ＶＰＮ処理部２１０と、ポリシー管理部２２０と、パケット転送部２３０と、ルータ広告処理部２４０と、パケット受信部２５０と、パケット送信部２６０、ＰＤクライアント部２１４，２７１４が主記憶装置上に生成されるようになっている。
【図面の簡単な説明】
【０２６３】
【図１】実施の形態１にかかるネットワークシステムのネットワーク構成を示す説明図である。
【図２】ＶＰＮ装置１００の機能的構成を示すブロック図である。
【図３】ＶＰＮポリシー情報２０３の構造を示すデータ構造図である。
【図４】ＶＰＮ接続情報２０１の構造の一例を示す説明図である。
【図５】ネットワークプレフィックス情報２０２の構造の一例を示す説明図である。
【図６−１】実施の形態にかかるＶＰＮ装置１００によるプレフィックス決定の全体処理の手順を示すフローチャートである。
【図６−２】実施の形態にかかるＶＰＮ装置１００によるプレフィックス決定の全体処理の手順を示すフローチャートである。
【図７】実施の形態１にかかるルータ機能を有するＶＰＮ装置１００ｃ，１００ｄ間においてプレフィックス決定処理の際に送受信されるメッセージをやりとりを示すシーケンス図である。
【図８】実施の形態１にかかるルータ機能のないＶＰＮ装置１００ａ，１００ｂ間においてプレフィックス決定処理の際に送受信されるメッセージをやりとりを示すシーケンス図である。
【図９】プレフィックス処理部２１２による優劣決定処理の手順を示すフローチャートである。
【図１０】プレフィックス取得方法決定処理の手順を示すフローチャートである。
【図１１】プレフィックス配布方法決定処理の手順を示すフローチャートである。
【図１２】プレフィックス配布形態決定処理の手順を示すフローチャートである。
【図１３】プレフィックス取得処理（ローカルプール）の手順を示すフローチャートである。
【図１４】プレフィックス取得処理（ＩＳＰ）の手順を示すフローチャートである。
【図１５】実施の形態１にかかるルータ機能を有するＶＰＮ装置間においてプレフィックス取得方法がＩＳＰの場合におけるプレフィックス決定処理の際に送受信されるメッセージをやりとりを示すシーケンス図である。
【図１６】プレフィックス取得処理（ＩＰｖ６  ＵＬＡ）の手順を示すフローチャートである。
【図１７】プレフィックス取得処理（ランダム）の手順を示すフローチャートである。
【図１８】ＶＰＮ接続の確立時におこなわれるパケットフィルタ設定変更処理の手順を示すフローチャートである。
【図１９】ＶＰＮ接続の切断時におこなわれるパケットフィルタ設定変更処理の手順を示すフローチャートである。
【図２０】プレフィックス配布処理の手順を示すフローチャートである。
【図２１】ルータ装置１０１によるプレフィックス配布処理の手順を示すフローチャートである。
【図２２】プレフィックス配布方法が「ＲＡ通知」、プレフィックス配布形態が「個別」と決定された場合におけるパケットフィルタリングおよびＲＡの送信状態を示す説明図である。
【図２３】プレフィックス配布方法が「ＲＡ通知」と「ＲＡ依頼」が混在し、プレフィックス配布形態が「個別」と決定された場合におけるパケットフィルタリングおよびＲＡメッセージの送信状態を示す説明図である。
【図２４】プレフィックス配布方法が「ＲＡ通知」、プレフィックス配布形態が「一括」と決定された場合におけるパケットフィルタリングおよびＲＡメッセージの送信状態を示す説明図である。
【図２５】プレフィックス配布方法が「ＲＡ依頼」、プレフィックス配布形態が「一括」と決定された場合におけるパケットフィルタリングおよびＲＡメッセージの送信状態を示す説明図である。
【図２６】２つのＶＰＮプレフィックスをＶＰＮ装置間で決定して、配布するように構成した例を示す説明図である。
【図２７】ＶＰＮ装置２７００の機能的構成を示すブロック図である。
【図２８】実施の形態２の変形例１のルータ機能を有するＶＰＮ装置間においてプレフィックス決定処理の際に送受信されるメッセージをやりとりを示すシーケンス図である。
【図２９】実施の形態２のＶＰＮ装置２６００によるプレフィックス取得処理（ローカルプール）の手順を示すフローチャートである。
【図３０】実施の形態３にかかるルータ機能のないＶＰＮ装置１００ａ，１００ｂ間においてプレフィックス決定処理の際に送受信されるメッセージをやりとりを示すシーケンス図である。
【図３１】実施の形態３にかかるＶＰＮ装置１００によるプレフィックス決定の全体処理の中で優劣決定からプレフィックス配布処理までの手順を示すフローチャートである。
【図３２】実施の形態４にかかるルータ機能のないＶＰＮ装置１００ａ，１００ｂ間においてプレフィックス決定処理の際に送受信されるメッセージをやりとりを示すシーケンス図である。
【図３３−１】実施の形態４にかかるＶＰＮ装置１００によるプレフィックス決定の全体処理の手順を示すフローチャートである。
【図３３−２】実施の形態４にかかるＶＰＮ装置１００によるプレフィックス決定の全体処理の手順を示すフローチャートである。
【符号の説明】
【０２６４】
１００，１００ａ〜１００ｄ，２７００  ＶＰＮ装置
１０１，１０１ａ，１０１ｂ  ルータ装置
１０２，１０２ａ〜１０２ｄ  ＩＳＰ
１０３，１０３ａ〜１０３ｄ  エンドノード
１０４，１０４ａ〜１０４ｄ  ネットワーク
１０５，１０５ａ〜１０５ｄ  ＰＤサーバ
１０６  ＶＰＮ仲介サーバ
１０７  インターネット
２００  記憶部
２０１  ＶＰＮ接続情報
２０２  ネットワークプレフィックス情報
２０３  ＶＰＮポリシー情報
２１０  ＶＰＮ処理部
２１１  ＶＰＮプロトコル依存処理部
２１２，２７１２  プレフィックス処理部
２１３  ＰＤクライアント情報
２１４，２７１４  ＰＤクライアント部
２３０  パケット転送部
２３１  パケットフィルタ部
２５０  パケット受信部
２６０  パケット送信部
【図１】
2006245676.tif 000003
【図２】
2006245676.tif 000004
【図３】
2006245676.tif 000005
【図４】
2006245676.tif 000006
【図５】
2006245676.tif 000007
【図６−１】
2006245676.tif 000008
【図６−２】
2006245676.tif 000009
【図７】
2006245676.tif 000010
【図８】
2006245676.tif 000011
【図９】
2006245676.tif 000012
【図１０】
2006245676.tif 000013
【図１１】
2006245676.tif 000014
【図１２】
2006245676.tif 000015
【図１３】
2006245676.tif 000016
【図１４】
2006245676.tif 000017
【図１５】
2006245676.tif 000018
【図１６】
2006245676.tif 000019
【図１７】
2006245676.tif 000020
【図１８】
2006245676.tif 000021
【図１９】
2006245676.tif 000022
【図２０】
2006245676.tif 000023
【図２１】
2006245676.tif 000024
【図２２】
2006245676.tif 000025
【図２３】
2006245676.tif 000026
【図２４】
2006245676.tif 000027
【図２５】
2006245676.tif 000028
【図２６】
2006245676.tif 000029
【図２７】
2006245676.tif 000030
【図２８】
2006245676.tif 000031
【図２９】
2006245676.tif 000032
【図３０】
2006245676.tif 000033
【図３１】
2006245676.tif 000034
【図３２】
2006245676.tif 000035
【図３３−１】
2006245676.tif 000036
【図３３−２】
2006245676.tif 000037
【手続補正書】
【提出日】平成17年12月6日(2005.12.6)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】請求項１７
【補正方法】変更
【補正の内容】
【請求項１７】
前記パケットフィルタ手段は、ＶＰＮによる通信におけるパケットフィルタ設定を、ＶＰＮによる通信によって送受信される、全てのネットワーク識別情報に対する前記ネットワーク識別情報の配布メッセージがＶＰＮを通過しない値の設定に変更することを特徴とする請求項１６に記載の通信装置。